CVE-2025-2539 - WordPress File Away <= 3.9.9.0.1 - Beliebiges Dateilesen

🔥 Schwachstellenübersicht
Das WordPress-Plugin File Away in Version <= 3.9.9.0.1 ist anfällig für eine unauthentifizierte Schwachstelle zum beliebigen Lesen von Dateien.
Dies ermöglicht es Angreifern, über eine manipulierte Anfrage an den AJAX-Endpunkt des Plugins beliebige Dateien auf dem Server auszulesen, z. B. wp-config.php.

Die Schwachstelle resultiert aus einer fehlerhaften Nonce-Validierung und fehlenden Pfadeinschränkungen bei Verwendung der Aktion fileaway-stats über admin-ajax.php.
Angreifer können dies ausnutzen, um sensible Dateien abzurufen und Anmeldedaten zu extrahieren, was potenziell zu einer vollständigen Kompromittierung führen kann.

🔍 Betroffenes Plugin

• Plugin-Name: File Away
• Betroffene Version: <= 3.9.9.0.1
• Schwachstellentyp: Unauthentifiziertes beliebiges Dateilesen
• CVE-ID: CVE-2025-2539
• CVSS-Score: 9.1 (Kritisch)
• Auswirkung: Offenlegung sensibler Informationen → Potenzielle RCE (über DB-Anmeldedaten + Upload)

🧪 Exploit-Funktionen

• 📥 Holt automatisch nonce von der Zielseite
• 📄 Liest beliebige Dateien (z. B. wp-config.php)
• 🔍 Extrahiert DB-Anmeldedaten (DB_USER, DB_PASSWORD, DB_HOST)
• ✅ Überprüft Zugriff auf /phpmyadmin oder /phpMyAdmin
• 🌐 Versucht Remote-DB-Anmeldung mit den abgerufenen Anmeldedaten
• 💾 Speichert gültige Anmeldedaten und phpMyAdmin-Zugriff in:
  • result_database.txt
  • result_phpmyadmin_dan_config_valid.txt
  • result_databaseremotevalid.txt

🧠 Forscher
Quelle: https://github.com/RootHarpy/CVE-2025-2539

🚀 Nutzung
Erstellen Sie Ihre list.txt-Datei mit einer Liste von Ziel-Domains (eine pro Zeile, ohne http oder https).

Beispiel list.txt:

example.com  
victimsite.org  
target123.net  

Das Skript ausführen:

python3 mass_cve_2539.py

📁 Ausgabe

• result_database.txt → Liste der extrahierten DB-Anmeldedaten
• result_phpmyadmin_and_config_valid.txt → Liste der gefundenen phpMyAdmin-URLs
• result_databaseremotevalid.txt → Liste der gültigen Remote-DB-Anmeldedaten

🔒 Haftungsausschluss:
Dieses Tool ist nur für Bildungszwecke bestimmt und darf ausschließlich auf Systemen eingesetzt werden, die Ihnen gehören oder für deren Test Sie ausdrücklich autorisiert wurden. Ein Missbrauch dieses Codes kann rechtliche Konsequenzen haben.