CVE-2025-4380 - Ads Pro Plugin <= 4.89 - Exploit d'inclusion de fichier local (LFI)

Description

Cet exploit Python cible Ads Pro Plugin ≤ 4.89 pour WordPress, vulnérable à l'inclusion de fichier local (LFI) via l'action AJAX bsa_preview_callback.

Un attaquant non authentifié peut exploiter cette faille pour lire des fichiers arbitraires du système de fichiers du serveur, y compris des fichiers sensibles comme /etc/passwd, wp-config.php, et plus encore.

Fonctionnalités de l'exploit

• Exploite la vulnérabilité LFI CVE-2025-4380.
• Prend en charge l'exploitation d'une cible unique ou en masse.
• Enregistre les résultats dans un fichier (optionnel).
• Prend en charge les proxys HTTP ou le routage TOR.
• Mécanisme de tentative pour la fiabilité.

Utilisation

Cible unique

python3 cve_2025_4380.py -u http://target.com -p ../../../../etc/passwd

Cibles multiples (Scan de masse)

python3 cve_2025_4380.py -l targets.txt -p ../../../../etc/shadow

Enregistrer la sortie dans un fichier

python3 cve_2025_4380.py -u http://target.com -p ../../../../etc/passwd -o output.txt

Utiliser un proxy (ex: Burp, TOR)

python3 cve_2025_4380.py -u http://target.com -p ../../../../etc/passwd --proxy http://127.0.0.1:8080

Paramètres

Exemple

Requête/Réponse Burpsuite

Référence de la vulnérabilité

• CVE-2025-4380

• Ads Pro Plugin <= 4.89 - Inclusion de fichier local via bsa_template dans bsa_preview_callback

⚠️ Avertissement

Cet exploit est fourni à des fins éducatives et uniquement pour des tests de sécurité autorisés.

Canaux officiels

• YouTube @rootctf
• X @r0otk3r