nxploited/cve-2025-32583Le plugin WordPress PDF 2 Post <= 2.4.0 est vulnérable à l'exécution de code à distance (RCE) +Subscriber
Vulnérabilité CRITIQUE
ID CVE : CVE-2025-32583
Sévérité : 9.9 (CRITIQUE)
Vecteur CVSS :CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Une vulnérabilité dans le plugin WordPress PDF 2 Post (développé par termel) permet une inclusion de code à distance (RCE) en raison d'un contrôle inadéquat de la génération de code.
Versions affectées : <= 2.4.0
Cette faille permet aux utilisateurs authentifiés (même ceux disposant de faibles privilèges) de téléverser un fichier .zip contenant du code PHP. Une fois extrait par le plugin, ce fichier PHP malveillant peut être exécuté à distance via un répertoire de téléversement public.
Nxploited.zip malveillantnonce dynamiqueUne fois la charge utile téléversée, le shell PHP sera extrait dans le dossier de téléversement de WordPress.
🛠️ Chemin par défaut :
/wp-content/uploads/YYYY/MM/nxploited.php
Par exemple, si l'exploitation est effectuée en mai 2025, l'URL serait :
http://target-site.com/wp-content/uploads/2025/05/nxploited.php
🕓 WordPress organise automatiquement les téléversements par année/mois ; assurez-vous donc de vérifier le bon dossier en fonction de la date actuelle.
python CVE-2025-32583.py --help
python CVE-2025-32583.py -u http://target-site.com/wordpress -un admin -p admin
Exploit By: Khaled_alenazi (Nxploited)
[+] Payload Nxploited.zip created successfully.
[+] Logged in successfully.
[+] Found nonce: 3c3e8fff7c
[+] Payload uploaded.
CVE-2025-32583.py
Cet outil est destiné strictement à des fins éducatives et de tests d'intrusion autorisés.
Toute utilisation abusive de ce code pour des activités non autorisées est strictement interdite.
L'auteur décline toute responsabilité en cas de dommage ou d'utilisation abusive.
Par : Khaled_alenazi (Nxploited)