CVE-2025-49388

Le plugin WordPress Miraculous Core Plugin <= 2.0.7 est vulnérable à l'élévation de privilèges

🚨 CVE-2025-49388 - Exploit d'élévation de privilèges du plugin Miraculous Core

📜 Description

La vulnérabilité d'attribution de privilèges incorrecte dans le plugin Miraculous Core de kamleshyadav permet à des attaquants non authentifiés d'élever leurs privilèges et d'enregistrer des comptes administrateurs.
Versions affectées : n/a jusqu'à 2.0.7

• Type de vulnérabilité : Élévation de privilèges
• Plugin : Miraculous Core
• Versions concernées : ≤ 2.0.7

🛡️ Métriques de sécurité

CVSS 3.1 du CNA Patchstack :

• Score de base : 9.8 CRITIQUE
• Vecteur : CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

CVSS du NIST : (Évaluation non encore fournie)

⚙️ À propos du script d'exploitation

Ce script Python automatise l'exploitation de CVE-2025-49388 en enregistrant un nouveau compte administrateur sur des instances WordPress vulnérables avec le plugin Miraculous Core installé.
Il offre une haute fiabilité, randomise les données pour une exploitation répétée fiable, et gère automatiquement les en-têtes, cookies et tentatives de contournement.

📦 Prérequis

• Python 3.6+
• requests
• colorama

Installer les dépendances :

pip install requests colorama

🚀 Utilisation

python CVE-2025-49388.py -u <url-cible> [OPTIONS]

Exemple :

python CVE-2025-49388.py -u http://127.0.0.1/wordpress

Options principales :

Remarque :
Si vous omettez le nom d'utilisateur ou l'email, des valeurs aléatoires seront générées à chaque exécution pour éviter les erreurs de doublon.

📝 Exemple de sortie

[Nxploited INFO] Cible : http://cible/wp-admin/admin-ajax.php
[Nxploited INFO] Début de la tentative d'exploitation...
[Nxploited SUCCESS] Exploitation réussie ! Nxploited By Nxploited

[Nxploited CREDENTIALS]
Nom d'utilisateur : Nxploited_4pQz1x
Mot de passe : Str0ng!Pass123
Email    : [email protected]

❗ Avertissement

Cet outil est fourni à des fins éducatives et de tests de sécurité autorisés uniquement.
L'exploitation non autorisée de systèmes sans autorisation explicite est illégale et contraire à l'éthique.
L'auteur décline toute responsabilité en cas d'utilisation abusive ou de dommages. Utilisez-le de manière responsable.

👨‍💻 Par : Khaled Alenazi ( Nxploited )