🚨 CVE-2025-47539 – Exploit Critique du Plugin Eventin WordPress

🔥 Résumé de la Vulnérabilité

Le plugin Event Manager, Events Calendar, Tickets, Registrations – Eventin pour WordPress est vulnérable à une escalade de privilèges non authentifiée en raison d'un contrôle d'autorisation manquant dans la fonction import_items().

• 🔓 Versions affectées : <= 4.0.26
• 🆔 CVE : CVE-2025-47539
• 🚨 Score CVSS : 9.8 (Critique)
• 📅 Divulgation publique : 7 mai 2025
• 🔄 Dernière mise à jour : 15 mai 2025

Des attaquants non authentifiés peuvent créer une requête malveillante vers l'API REST et créer un nouvel utilisateur avec les privilèges administrator sans aucune interaction utilisateur.

💻 À propos du Script

Ce script Python est un outil d'exploitation autonome pour CVE-2025-47539.

Il va :

• Générer automatiquement un fichier CSV valide.
• Téléverser le fichier vers le point de terminaison vulnérable.
• Déclencher automatiquement le processus d'importation.
• Fournir un retour immédiat incluant les identifiants complets du compte administrateur créé.

⚠️ Ce script est destiné uniquement à des fins éducatives et à des évaluations de sécurité professionnelles.

⚙️ Utilisation

usage: a.py [-h] -u URL

Exploit for CVE-2025-47539 # By Nxploited (Khaled Alenazi)

options:
  -h, --help     show this help message and exit
  -u, --url URL  Target base URL (e.g. http://target.com)

✅ Sortie Attendue

By:Nxploited (Khaled_alenazi) |    [email protected]
[+] Exploitation succeeded
[+] Response:
{"message":"Successfully imported speaker"}

[+] Exploited Account Details
    Name     : Nxploited (Khaled_alenazi)
    Email    : [email protected]
    Username : NxPloted
    Password : nxploit123
    Role     : administrator

Exploit: By: Nxploited (Khaled_alenazi)
Use this script for educational purposes only. I am not responsible for your actions.

📊 Impact

Plus de 10,000+ sites WordPress sont confirmés vulnérables à cette exploitation.
Tous les administrateurs de site utilisant Eventin ≤ 4.0.26 devraient mettre à jour immédiatement vers la version 4.0.28 ou ultérieure.

⚠️ Avertissement

Cet outil est fourni uniquement à des fins éducatives et de tests d'intrusion autorisés.
Le créateur n'est pas responsable de toute utilisation abusive ou des dommages causés par ce script.

👤

By: Nxploited ( Khaled_Alenazi )
📧 Contact: [email protected]