Exploit CVE-2025-4403

Detalles

• Publicado: 27 de marzo de 2025
• Actualizado: 28 de marzo de 2025
• Severidad: Crítica (Puntuación CVSS: 9.8)
• CWE: CWE-22: CWE-22 Limitación incorrecta de un nombre de ruta a un directorio restringido ('Path Traversal')
• Versiones afectadas: Todas las versiones desde n/a hasta 2.5.1
• Investigador: https://www.wordfence.com/threat-intel/vulnerabilities/researchers/michael-mazzolini

Vector CVSS

• Versión CVSS: 9.8
• Cadena del vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Descripción

El plugin Kubio AI Page Builder para WordPress es vulnerable a la inclusión de archivos locales (Local File Inclusion) en todas las versiones hasta la 2.5.1 inclusive, a través de la función kubio_hybrid_theme_load_template. Esto permite a atacantes no autenticados incluir y ejecutar archivos arbitrarios en el servidor, permitiendo la ejecución de cualquier código PHP en esos archivos. Esto puede utilizarse para eludir controles de acceso, obtener datos sensibles o lograr ejecución de código en casos donde se puedan subir e incluir imágenes y otros tipos de archivos "seguros".

Uso

usage: python3 CVE-2025-2294.py

Detalles del script

Requisitos

• Python 3.x
• librería requests

Instalación

1. Clona el repositorio:

   git clone https://github.com/Yucaerin/CVE-2025-2294.git
   cd CVE-2025-2294
   

2. Instala los paquetes de Python requeridos:

   pip install requests
   

NOTA

¡el exploit puede encadenarse a RCE!

Descargo de responsabilidad

Este script está destinado únicamente a fines educativos. Úsalo de forma responsable y solo en sistemas para los cuales tengas permiso explícito. El uso no autorizado de este script es ilegal y poco ético.