Exploit for CVE-2023-3460

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-EMADYAY-CVE-2023-3460
# CVE-2023-3460 - Несанкционированный доступ администратора для плагина Ultimate Member (POC)

# Оценка CVSS: 9.1

# Дата: 07/04/2023

## Что такое плагин Ultimate Member?

### Плагин Ultimate Member — это популярный плагин членства для регистрации пользователей, у плагина 200 000+ активных установок.

![Alt text](https://assets.kitploit.com/production/public/readmes/35867/46a76a782ac32910d9b4cb58d8102f0697b0c2c1daae1246fe096982c6b40574.png)

## Быстрая проверка

#### Критическая уязвимость была обнаружена в плагине Ultimate Member 7 июля. Злоумышленник может создать учётную запись администратора, используя технику повышения привилегий, которая может привести к полному захвату веб-сайта WordPress.

### Итак, как работает эксплойт?

##### Если мы посмотрим на роли и возможности WordPress, то увидим, что у пользователя может быть довольно много ролей: , , , , , . Итак, как мы можем получить привилегии администратора? Сначала давайте посмотрим, как работает плагин Ultimate Member. Во-первых, вам нужно настроить плагин, чтобы он работал правильно: необходимо создать несколько страниц в разделе , затем привязать эти страницы к Ultimate Member > настройки. После этого мы можем создавать новые роли или просто использовать роли по умолчанию, которые предлагает Ultimate Member.

![Alt text](https://assets.kitploit.com/production/public/readmes/35867/77ae6424c254aa014630cf8c53a71a859c474de9568d9b84eb056b9d228b6d77.png)

##### К этому моменту у нас должен быть работающий плагин. Теперь давайте разберёмся, как это работает в бэкенде. Я зарегистрировал обычного пользователя с ролью `Subscriber`. Если мы посмотрим на таблицу `wp_usermeta` в MySQL, то увидим, что значение `wp_capabilities` установлено в виде сериализованного массива, и именно там определяется наша роль, которая в данном случае — `Subscriber`.

![Alt text](https://assets.kitploit.com/production/public/readmes/35867/166f77924b7b55ea99b01d556afac16e19998711fbfc3931ebbb62fdb51cfa32.png)

##### Итак, как мы можем изменить значение `wp_capabilities`? Мы можем передать `wp_capabilities` в качестве параметра в POST-запросе при регистрации, например так:

![Alt text](https://assets.kitploit.com/production/public/readmes/35867/e8c7a1b720a49a265bd0cc36f0f78d3107b5040a28f530bd0b9101dc085467f5.png)

##### Но на этом всё не заканчивается. Видите ли, существует функция `is_metakey_banned`, которая проверяет некоторые значения, такие как `"cap_key"`, `"wp_capabilities"`, `"wp_user_level"`, `"user_activation_key"` и т. д. Нас интересует `wp_capabilities`, но если он есть в теле запроса, выполнение дойдёт до `break`, что помешает нам изменить роль.

![Alt text](https://assets.kitploit.com/production/public/readmes/35867/00f491de8b983361fb135efea5e84a789fa427bf54179aac9ac9a1568f2f564b.png)

##### После этого мы можем попробовать несколько различных типов декодирования, но это не сработает. После некоторого исследования и небольшой помощи от ИИ я обнаружил, что WordPress по умолчанию принимает символы с диакритикой, например `à, è, ì, ò, ù, À, È, Ì, Ò, Ù`. Итак, если мы используем эти символы в теле запроса, например `wp_càpabilities=administrator`, что произойдёт? Ну, выполнение не дойдёт до `break` на строке 182 в файле class-user.php, и мы сможем обойти функцию `is_metakey_banned`.

![Alt text](https://assets.kitploit.com/production/public/readmes/35867/40d382dae07da50f4e0e9135ac6d334c5b475a971f21133962052a9e009e4276.png)

##### Проверив MySQL, мы видим, что значение изменилось.

![Alt text](https://assets.kitploit.com/production/public/readmes/35867/f44cab157a67811c82cc8e048249f8ce320d1e4b5e041ee12b171a89942d2ae4.png)

##### Но мы не администратор; на самом деле у нас вообще нет никаких ролей.

![Alt text](https://assets.kitploit.com/production/public/readmes/35867/65fe9460932880d56512a98c818e6a5071ce8311e310d13c8fe4383eb890fc01.png)

##### Мы, очевидно, что-то сделали, но, чтобы стать администратором, нам нужно иметь точно такое же значение, как у администратора, которое выглядит так: `a:1:{s:13:"administrator";b:1;}`. Хорошо, теперь давайте попробуем передать это напрямую в наш параметр.

![Alt text](https://assets.kitploit.com/production/public/readmes/35867/906bf4f1d527d91e862997769c62837a8e3fed775c20c42d4c47edf6f4bee135.png)

##### Снова проверяем MySQL: мы установили значение `wp_capabilities`, но это не то, что мы ожидали.

![Alt text](https://assets.kitploit.com/production/public/readmes/35867/231cda438fa73e851daab8ecd2cc37dbdbbb984f68a0a6d03f9d9c57773c331f.png)

##### Плагин взял наше значение и превратил его в сериализованную строку. Но, посмотрев на `wp_capabilities` администратора, мы видим, что это сериализованный массив — именно то, что нам нужно. WordPress имеет собственную сериализацию, поэтому мы можем использовать её, передав наше значение в виде массива, а WordPress сделает всё остальное за нас. Вот как выглядит наш payload: `wp_càpabilities[administrator]=1`.

![Alt text](https://assets.kitploit.com/production/public/readmes/35867/a1ca9870504fb787081c2ed1bb2551a9dbe14c674b8cf0ab4b762dd1e2a3d8c4.png)

##### В итоге мы видим, что значение `wp_capabilities` изменилось на `a:1:{s:13:"administrator";s:1:"1";}`, и теперь мы можем войти как администратор.

![Alt text](https://assets.kitploit.com/production/public/readmes/35867/21a4313a26bda594587503abbecdff72c4e4b6906ada5fad739a7fdf90667e36.png)

##### И теперь мы можем войти как администратор.

![Alt text](https://assets.kitploit.com/production/public/readmes/35867/21913fcd22be42e1b5f7389b2390ecf99cea16f48bb8867ea7991dbb193be589.png)