Shinya Murakami

تسمح ثغرة في رفع الملفات غير المصرح به للمهاجمين عن بُعد برفع ملفات عشوائية إلى الموقع من خلال حقل ملفات النموذج، وذلك بسبب فشل المكون الإضافي في التحقق من أنواع الملفات أو امتداداتها. كما يؤدي خلل في عملية تنظيف الملفات المؤقتة إلى بقاء الملف المرفوع على القرص. تؤثر هذه المشكلة على أكثر من 5 ملايين موقع ووردبريس. في تكوينات Apache الافتراضية على Debian أو Ubuntu، والتي تعرض محتويات الدليل وتربط ملفات .phar بمعالج PHP، يمكن أن يؤدي ذلك إلى تنفيذ التعليمات البرمجية عن بُعد (RCE)، وهو القدرة على تنفيذ أوامر عشوائية على الخادم. أما في التكوينات الأخرى، مثل nginx أو Apache مع تفعيل تجاوزات .htaccess، تقتصر المشكلة على كتابة ملفات عشوائية في دليل الرفع، والتي قد يتم تقديمها كمحتوى نشط مثل HTML أو SVG.

يؤدي عدم كفاية تنقية المدخلات ومعالجة المخرجات إلى إمكانية قيام المهاجمين المصرح لهم، والذين يمتلكون صلاحيات وصول بمستوى مشترك أو أعلى، بتنفيذ هجوم Stored Cross-Site Scripting (XSS). يحدث هذا عبر المعلمة `ImageURL column value (populated from wp usermeta.description in the demonstrated path)`. يمكن للمهاجم حقن نصوص برمجية ويب عشوائية في الصفحات التي يتم تنفيذها عندما يصل المستخدم إلى الصفحة المحقونة. يتطلب الاستغلال أن يكون المسؤول قد نشر shortcode DataTables على عمود في قاعدة البيانات يتحكم فيه المهاجم، مثل `wp usermeta.description` مع تعيين نوع وسائط Image URL لهذا العمود.

يحدث ثغرة Cross-Site Scripting مخزنة بسبب عدم كفاية تعقيم المدخلات ومعالجة المخرجات. يمكن للمهاجمين غير المصرح لهم حقن نصوص برمجية ويب تعسفية في الصفحات التي يتم تنفيذها عندما يصل المستخدم إليها. هذه المشكلة قابلة للاستغلال فقط إذا تم تكوين مفتاح API الخاص بخرائط Google في الإعدادات، حيث لا يتم الوصول إلى المصب (sink) المصاب إلا في هذه الحالة. يتم تفعيل هذه الثغرة عبر المعلمة `lat`.

توجد ثغرة تحميل ملفات غير مقيدة في ميزة استيراد الحملات. عند معالجة أرشيف حملة، يقوم التطبيق بنسخ ملفات الأصول المرفقة إلى دليل وسائط متاح للعموم دون تقييد أسماء الملفات أو أنواعها. يمكن للمستخدم المصرح له بإنشاء استيرادات الحملات استغلال ذلك عبر واجهة المستخدم أو نقطة النهاية '/api/campaigns/import' لوضع ملفات عشوائية، بما في ذلك البرامج النصية التي تعمل على الخادم، في جذر الويب. لا تتطلب هذه العملية صلاحيات المسؤول. في خوادم الويب التي تدعم التكوين لكل دليل، مثل إعداد Apache الافتراضي في صورة Docker الرسمية لـ Mautic، يمكن أن يؤدي ذلك إلى تنفيذ رموز عن بُعد بصلاحيات مستخدم خادم الويب، مما يتيح الوصول إلى أسرار التطبيق والتكوينات وبيانات جهات الاتصال.