CVE-2020-11738 – WordPress Snap Creek Duplicator File Download Vulnerability
A vulnerabilidade permite que um atacante baixe arquivos arbitrários do servidor WordPress ao criar uma cópia do site via plugin Duplicator. O vetor de ataque é remoto, sem necessidade de privilégios ou interação do usuário, e tem severidade crítica. O EPSS indica 97.8% de chance de exploração nos próximos 30 dias, e a CISA confirma exploração ativa. A prioridade de mitigação é alta devido ao risco de vazamento de dados confidenciais.
Dados confirmados por NVD (CVSS), EPSS com alta probabilidade de exploração, e inclusão no catálogo CISA KEV com exploração ativa e prazo de mitigação definido.
O que aconteceu
O plugin Snap Creek Duplicator (versões <1.3.28 e <3.8.7.1) permite que um usuário administrador gere um pacote de backup. Um atacante pode manipular a requisição de download para ler arquivos arbitrários fora do diretório permitido, resultando em divulgação de informações sensíveis. O CVSS 3.1 (AV:N/AC:L/PR:N/UI:N) reflete um ataque de rede simples, sem privilégios ou interação. O EPSS de 97.8% indica que exploits estão amplamente disponíveis e provavelmente serão usados em breve.
Por que isso importa
A exploração pode expor chaves de API, credenciais, configurações internas e outros dados críticos armazenados no servidor web. O vazamento pode levar a comprometimento adicional, como escalonamento de privilégios ou movimentação lateral. Organizações que dependem de WordPress para sites públicos ou internos ficam expostas a perdas de confidencialidade sem impacto direto na disponibilidade.
Quem está em risco
Instalações WordPress que utilizam o plugin Snap Creek Duplicator ou Duplicator Pro, independentemente do setor ou região. Ambientes de produção, teste ou desenvolvimento que permitam acesso ao painel de administração são vulneráveis.
Detalhes técnicos
Vetores de ataque: NETWORK, Complexidade: LOW, Privilégios: NONE, Interação do usuário: NONE. Exploração baseada em Path Traversal (CWE-22) que contorna a validação de caminho ao solicitar download de arquivos gerados. Técnica ATT&CK: T1105 (Ingress Tool Transfer) e T1190 (Exploitation of Public-Facing Application) aplicáveis ao cenário de download arbitrário. Referências de PoC: http://packetstormsecurity.com/files/160621/WordPress-Duplicator-1.3.26-Directory-Traversal-File-Read.html, http://packetstormsecurity.com/files/164533/WordPress-Duplicator-1.3.26-Arbitrary-File-Read.html.
IOCs Identificados
Nenhum IOC estruturado foi identificado na fonte original.
Consulte a fonte diretamente para busca manual de indicadores.
Ações recomendadas
- 1
Atualize o plugin Snap Creek Duplicator para a versão 1.3.28 ou superior, ou 3.8.7.1 ou superior, conforme aplicável.
- 2
Revise e restrinja o acesso ao painel de administração WordPress, limitando usuários e IPs autorizados.
- 3
Implemente regras de WAF que bloqueiem solicitações contendo sequências de caminho '..' ou tentativas de acesso a diretórios fora de /wp-content/uploads/duplicator_temp.
Sugestões de detecção
- ›
Analise logs de acesso web (ex.: Apache access_log) para requisições ao endpoint /wp-admin/admin-ajax.php?action=duplicator_download contendo parâmetros de caminho que incluam '..' ou caracteres de escape de diretório.
- ›
Monitore eventos do plugin Duplicator no log de auditoria do WordPress (action=duplicator_download) para usuários não administradores ou horários incomuns.
- ›
Crie alertas no SIEM para criação de arquivos zip em /wp-content/uploads/duplicator_temp seguidos de download imediato via HTTP GET.
Falsos positivos
Downloads legítimos de backups pelos administradores podem gerar padrões semelhantes; correlacione com identidade do usuário e horário de operação para reduzir falsos positivos.