استغلال CVE-2025-4403

التفاصيل

• تاريخ النشر: 8 مايو 2025
• تاريخ التحديث: 9 مايو 2025
• الخطورة: عالية (نقاط CVSS: 9.8)
• CWE: CWE-434 - رفع غير مقيد لملف بنوع خطير
• الإصدارات المتأثرة: جميع الإصدارات من n/a حتى 1.1.6

متجه CVSS

• إصدار CVSS: 9.8
• سلسلة المتجه: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

الوصف

إن إضافة Drag and Drop Multiple File Upload for WooCommerce لووردبريس عرضة لرفع ملفات تعسفية في جميع الإصدارات حتى 1.1.6 وما يشملها، وذلك بسبب قبولها لسلسلة supported_type المقدمة من المستخدم واسم الملف المرفوع دون فرض فحوصات حقيقية للامتداد أو MIME داخل دالة upload(). وهذا يتيح للمهاجمين غير المصادق عليهم رفع ملفات تعسفية على خادم الموقع المتأثر، مما قد يجعل تنفيذ التعليمات البرمجية عن بُعد ممكنًا.

الاستخدام

usage: python3 CVE-2025-4403.py

تفاصيل السكربت

المتطلبات

• Python 3.x
• مكتبة requests

التثبيت

1. استنسخ المستودع:

   root@kitploit:~

   git clone https://github.com/Yucaerin/CVE-2025-4403.git
   cd CVE-2025-4403
   

2. ثبّت حزم Python المطلوبة:

   root@kitploit:~

   pip install requests
   

إخلاء مسؤولية

هذا السكربت مخصص للأغراض التعليمية فقط. استخدمه بمسؤولية وفقط على الأنظمة التي لديك إذن صريح لاستخدامها. الاستخدام غير المصرح به لهذا السكربت غير قانوني وغير أخلاقي.