【安全预警】wordpress插件social warfare存在xss及远程代码执行漏洞-九游会亚洲

近日，国外安全研究人员在大量攻击数据中发现了一个wordpress plugins social warfare远程代码执行漏洞。该漏洞位于social-warfare\lib\utilities\swp_database_migration.php文件中的eval()函数，该函数能够运行攻击者在“swp_url”get参数中定义的php代码。此漏洞允许攻击者getshell接管整个网站，甚至是服务器。

安全狗海青实验室已于昨日第一时间响应并发布预警信息，我们随后进行了进一步的研究分析，现将细节公布。

在social-warfare\lib\utilities\swp_utility.php处通过获取swp_debug参数

在调用漏洞文件social-warfare\lib\utilities\swp_database_migration.php进入处理流程

在202行处调用了is_admin()函数，该函数是wordpress的内置布尔型函数，取值取决于文件所处位置，前端默认而false，而后端默认为true，而该文件所处为后端，is_admin取值为真，if条件里的判断为永假，导致了该模块页面可以未进行身份验证直接进行访问。

接下来通过获取swp_url参数获取远程文件内容，经过简单处理满足

*

环境搭建：下载安装wordpress程序，然后登录后台安装social warfare插件，使用构造好的payload进行测试，最终导致xss及远程代码执行。

wordpress官方插件库已经更新了该插件版本，该插件的用户可以更新至该插件的最新版本：

https://wordpress.org/plugins/social-warfare/advanced/