WordPress 插件 - Elementor 3.6.0 3.6.1 3.6.2 远程代码执行

Google Dork: 无
日期: 2022年4月16日
漏洞作者: AkuCyberSec (https://github.com/AkuCyberSec)
厂商主页: https://elementor.com/
软件链接: https://wordpress.org/plugins/elementor/advanced/ （向下滚动选择版本）
版本: 3.6.0, 3.6.1, 3.6.2
测试环境: WordPress 5.9.3（与操作系统无关，因为此漏洞不提供载荷）
CVE : CVE-2022-1329

漏洞描述

WordPress 插件 Elementor（v. 3.6.0、3.6.1、3.6.2）存在一个漏洞，允许任何已认证用户上传并执行任意 PHP 文件。

该漏洞在 OWASP TOP 10 2021 中位列第 #1 位（访问控制失效）

包含此漏洞的文件是 elementor/core/app/modules/onboarding/module.php

在该文件末尾可以找到以下代码：

add_action( 'admin_init', function() {
		if ( wp_doing_ajax() &&
			isset( $_POST['action'] ) &&
			isset( $_POST['_nonce'] ) &&
			wp_verify_nonce( $_POST['_nonce'], Ajax::NONCE_KEY )
		) {
			$this->maybe_handle_ajax();
		}
	} );

当任何用户账户访问 /wp-admin 时，都会触发此代码。

为了使其生效，我们需要满足以下 4 个条件：

1. 调用必须是“ajax 调用”（wp_doing_ajax()），且方法必须为 POST。为此，我们只需调用 /wp-admin/admin-ajax.php
2. 参数 "action" 必须为 "elementor_upload_and_install_pro"（查看同一文件中名为 maybe_handle_ajax() 的函数）
3. 参数 "_nonce" 必须在登录后通过检查 /wp-admin 页面获取（本漏洞在 DoLogin 函数中完成了此操作）
4. 参数 "fileToUpload" 必须包含我们要上传的 ZIP 压缩包（查看同一文件中名为 upload_and_install_pro() 的函数）

我们上传的文件必须具有以下结构：

1. 必须是一个 ZIP 文件。你可以随意命名。