简介¶

WordPress插件WPFileManager中存在一个严重的0day安全漏洞，攻击者可以在安装了此插件的任何WordPress网站上任意上传文件并远程执行代码。

影响版本¶

File Manager 6.0-6.8

环境搭建¶

Wordpress下载地址

https://cn.wordpress.org/wordpress-5.4.1-zh_CN.tar.gz

插件下载地址

http://plugins.svn.wordpress.org/wp-file-manager/tags/6.0/

登录后台把插件压缩包上传插件并启动

漏洞复现¶

访问http://192.168.56.1/wordpress/wp-content/plugins/wp-file-manager/lib/php/connector.minimal.php页面可以发现errUnknownCmd

疑似漏洞

Poc地址：https://github.com/xDro1d/wp-file-manager

可以发现命令成功执行

漏洞分析¶

直接从elFinderConnector构造方法后的run开始

然后\wordpress\wp-content\plugins\wp-file-manager\lib\php\elFinderConnector.class.php文本中

初始化

然后run

首先判断是否是POST方法传入数据，接着合并数组至$src

$maxInuptVars = null，而$src是存在的

此时$_REQUEST中，cmd为upload，target为l1_Lw==

没有targets参数,第一个if语句不执行

第二个if语句判断json_encode方法是否可用，后面看flFinder->loaded方法，这里返回true，跳过

Cmd存在值，跳过

此处的$cmd为upload

来到foreach语句

commandArgsList方法跟进

整理得

'upload' => array('target' => true, 'FILES' => true, 'mimes' => false, 'html' => false, 'upload' => false, 'name' => false, 'upload_path' => false, 'chunk' => false, 'cid' => false, 'node' => false, 'renames' => false, 'hashes' => false, 'suffix' => false, 'mtime' => false, 'overwrite' => false, 'contentSaveId' => false

$list第一键值不是FILES，所以跳过第一个if语句，而第一个target又存在于$src数组中