CVE-2025-49388

مكوّن WordPress الإضافي Miraculous Core بإصدار <= 2.0.7 معرّض لثغرة تصعيد الامتيازات

🚨 CVE-2025-49388 - استغلال تصعيد الامتيازات في مكوّن Miraculous Core

📜 الوصف

ثغرة تخصيص الامتيازات بشكل غير صحيح في مكوّن Miraculous Core الخاص بالمطوّر kamleshyadav تسمح للمهاجمين غير المصادَق عليهم بتصعيد الامتيازات وإنشاء حسابات مسؤول.
الإصدارات المتأثرة: غير متاح حتى 2.0.7

• نوع الثغرة: تصعيد الامتيازات
• المكوّن: Miraculous Core
• الإصدارات المتأثرة: ≤ 2.0.7

🛡️ المقاييس الأمنية

Patchstack CNA CVSS 3.1:

• النتيجة الأساسية: 9.8 خطيرة
• المتجه: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

NIST CVSS: (لم يُقدَّم التقييم بعد)

⚙️ حول سكربت الاستغلال

يعمل هذا السكربت المكتوب بلغة Python على أتمتة استغلال CVE-2025-49388 عبر إنشاء حساب مسؤول جديد في مواقع WordPress المصابة التي تحتوي على مكوّن Miraculous Core.
يوفر موثوقية عالية، ويولّد بيانات عشوائية لاستغلال موثوق ومتكرر، ويتعامل تلقائيًا مع الترويسات وملفات تعريف الارتباط ومحاولات الالتفاف.

📦 المتطلبات

• Python 3.6+
• requests
• colorama

تثبيت التبعيات:

pip install requests colorama

🚀 الاستخدام

python CVE-2025-49388.py -u <target-url> [OPTIONS]

مثال:

python CVE-2025-49388.py -u http://127.0.0.1/wordpress

الخيارات الرئيسية:

ملاحظة:
إذا حذفت اسم المستخدم أو البريد الإلكتروني، فسيتم توليد قيم عشوائية لكل تشغيل لتجنب أخطاء التكرار.

📝 مثال على المخرجات

[Nxploited INFO] Target: http://target/wp-admin/admin-ajax.php
[Nxploited INFO] Starting exploitation attempt...
[Nxploited SUCCESS] Exploitation succeeded! Nxploited By Nxploited

[Nxploited CREDENTIALS]
Username : Nxploited_4pQz1x
Password : Str0ng!Pass123
Email    : [email protected]

❗ إخلاء مسؤولية

تُقدَّم هذه الأداة لأغراض تعليمية واختبارات أمنية مصرَّح بها فقط.
استغلال الأنظمة دون إذن صريح غير قانوني وغير أخلاقي.
لا يتحمّل المؤلف أي مسؤولية عن سوء الاستخدام أو الأضرار. استخدمها بمسؤولية.

👨‍💻 بقلم: Khaled Alenazi ( Nxploited )