Explotación de CVE-2025-4389

Detalles

• Publicado: 16 de mayo de 2025
• Actualizado: 17 de mayo de 2025
• Gravedad: Crítica (Puntuación CVSS: 9.8 )
• CWE: CWE-434: CWE-434 Subida sin restricciones de archivos con tipo peligroso
• Versiones afectadas: Todas las versiones desde n/a hasta 2.6.8.1
• Investigador: https://www.wordfence.com/threat-intel/vulnerabilities/researchers/friderika-baranyai

Vector CVSS

• Versión CVSS: 9.8
• Cadena de vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Descripción

El plugin Crawlomatic Multipage Scraper Post Generator para WordPress es vulnerable a subidas de archivos arbitrarios debido a la falta de validación del tipo de archivo en la función crawlomatic_generate_featured_image() en todas las versiones hasta la 2.6.8.1 inclusive. Esto permite a atacantes no autenticados subir archivos arbitrarios al servidor del sitio afectado, lo que puede posibilitar la ejecución remota de código.

Uso

usage: python3 CVE-2025-4389.py

Detalles del Script

Instalación

1. Clona el repositorio:
   root@kitploit:~

   git clone https://github.com/Yucaerin/CVE-2025-4389.git
   cd CVE-2025-4389
   

Descargo de responsabilidad

Este script tiene fines exclusivamente educativos. Úsalo de forma responsable y únicamente en sistemas para los que tengas permiso explícito. El uso no autorizado de este script es ilegal y poco ético.