CVE-2025-54352 PoC

Utilisation

Étapes pour installer et tester le PoC WordPress :

1. Installer une version propre de WordPress avec Docker :

1.1 Démarrer le conteneur de base de données MySQL :

docker run --name wp-db -e MYSQL_DATABASE=wp-db -e MYSQL_USER=wpuser -e MYSQL_PASSWORD=password -e MYSQL_ROOT_PASSWORD=rootpass -d mysql:5.7

1.2 Démarrer le conteneur WordPress lié à la base de données

docker run --name wp-site --link wp-db:mysql \
  -e WORDPRESS_DB_HOST=wp-db \
  -e WORDPRESS_DB_NAME=wp-db \
  -e WORDPRESS_DB_USER=wpuser \
  -e WORDPRESS_DB_PASSWORD=password \
  -p 8080:80 -d wordpress

2. Dans le tableau de bord d’administration de WordPress (http://localhost:8080) :

• Se connecter
• Créer un nouveau brouillon ou un article privé avec le titre "secret title"

3. Installer la dépendance Node.js requise :

npm install node-fetch

4. Enregistrer le PoC :

Par exemple, sous le nom test.js.

5. Exécuter le PoC :

node test.js http://localhost:8080/ secret

Après environ 10 secondes, vous devriez voir : "Done! the title is: secret title"

https://www.imperva.com/blog/beware-a-threat-actor-could-steal-the-titles-of-your-private-and-draft-wordpress-posts/