The Templately — Библиотека шаблонов Elementor и Gutenberg: более 6500 бесплатных и готовых шаблонов и облако! Плагин для WordPress уязвим к удаленному выполнению кода во всех версиях до 3.7.1 включительно через функцию fetch_remote_file. Это связано с несоответствием имени файла и места назначения в fetch_remote_file, где проверка типа файла выполняется по имени файла Content-Disposition, контролируемому злоумышленником, а не по имени файла назначения, полученному из URL-пути. Это позволяет аутентифицированным злоумышленникам с доступом на уровне участника и выше выполнять код на сервере.
Полиглотный файл GIF+PHP проходит проверку wp_check_filetype_and_ext как image/gif через имя файла Content-Disposition, в то время как фактический путь назначения записывается с расширением .php, полученным из пути URL-адреса, полностью минуя шлюз возможности unfiltered_upload. Затронутые конечные точки доступны на этом уровне привилегий, поскольку весь REST API Templately, включая конечные точки облачного импорта, использованные в этой атаке (/templately/v1/clouds/upload и /templately/v1/insert), авторизован только с помощью проверки current_user_can('delete_posts') без каких-либо требований к возможностям администратора или Manage_options. Тот же шлюз разрешений также позволяет участнику перезаписать глобальное облачное соединение Templately сайта через конечную точку /templately/v1/login с параметром global_signin, установленным в true.
Полное исправление должно как исправить fetch_remote_file для проверки типа файла на соответствие фактическому имени файла назначения, а не заголовку Content-Disposition (и избежать получения пути записи из URL-адреса запроса), так и ограничить изменение состояния шаблонных REST-маршрутов соответствующими возможностями уровня администратора.
Показать оригинальное описание (EN)
The Templately – Elementor & Gutenberg Template Library: 6500+ Free & Pro Ready Templates And Cloud! plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, 3.7.1 via the fetch_remote_file function. This is due to a filename validation/destination mismatch in fetch_remote_file, where file type validation is performed against the attacker-controlled Content-Disposition filename rather than the URL-path-derived destination filename. This makes it possible for authenticated attackers, with contributor-level access and above, to execute code on the server. A GIF+PHP polyglot file passes wp_check_filetype_and_ext validation as image/gif via the Content-Disposition filename, while the actual destination path is written with a .php extension derived from the URL path, bypassing the unfiltered_upload capability gate entirely. The affected endpoints are reachable at this privilege level because Templately's entire REST API — including the cloud import endpoints used in this attack (/templately/v1/clouds/upload and /templately/v1/insert) — is authorized only by a current_user_can('delete_posts') check, with no administrator or manage_options capability requirement. The same permission gate also allows a contributor to overwrite the site's global Templately cloud connection via the /templately/v1/login endpoint with global_signin set to true. A complete remediation should both correct fetch_remote_file to validate the file type against the actual destination filename rather than the Content-Disposition header (and avoid deriving the write path from the request URL), and restrict state-changing Templately REST routes to an appropriate administrator-level capability.
Характеристики атаки
Последствия
Строка CVSS v3.1