CVE-2025-2539 - WordPress File Away <= 3.9.9.0.1 - Lecture arbitraire de fichier

🔥 Résumé de la vulnérabilité
Le plugin WordPress File Away version <= 3.9.9.0.1 est vulnérable à une lecture arbitraire de fichiers sans authentification.
Cela permet aux attaquants de lire n'importe quel fichier sur le serveur, comme wp-config.php, via une requête spécialement conçue envoyée au point de terminaison AJAX du plugin.

La vulnérabilité provient d'une validation nonce inappropriée et d'une absence de restriction de chemin lors de l'utilisation de l'action fileaway-stats via admin-ajax.php.
Les attaquants peuvent en tirer parti pour récupérer des fichiers sensibles et extraire des identifiants, ce qui peut potentiellement conduire à une compromission totale.

---

🔍 Plugin concerné

• Nom du plugin : File Away
• Version affectée : <= 3.9.9.0.1
• Type de vulnérabilité : Lecture arbitraire de fichiers sans authentification
• ID CVE : CVE-2025-2539
• Score CVSS : 9.1 (Critique)
• Impact : Divulgation d'informations sensibles → RCE potentielle (via identifiants DB + upload)

---

🧪 Fonctionnalités de l'exploit

• 📥 Récupère automatiquement le nonce depuis la page cible
• 📄 Lit un fichier arbitraire (par exemple wp-config.php)
• 🔍 Extrait les identifiants DB (DB_USER, DB_PASSWORD, DB_HOST)
• ✅ Valide l'accès à /phpmyadmin ou /phpMyAdmin
• 🌐 Tente une connexion DB à distance en utilisant les identifiants récupérés
• 💾 Stocke les identifiants valides et l'accès phpMyAdmin dans :
  • result_database.txt
  • result_phpmyadmin_dan_config_valid.txt
  • result_databaseremotevalid.txt

---

🧠 Chercheur
Crédit : https://github.com/RootHarpy/CVE-2025-2539

---

🚀 Utilisation
Préparez votre fichier list.txt avec une liste de domaines cibles (un par ligne, sans http ou https).

Exemple de list.txt :

example.com  
victimsite.org  
target123.net  

Exécutez le script :

python3 mass_cve_2539.py

---

📁 Sortie

• result_database.txt → Liste des identifiants DB extraits
• result_phpmyadmin_and_config_valid.txt → Liste des URL phpMyAdmin trouvées
• result_databaseremotevalid.txt → Liste des identifiants DB distants valides

---

🔒 Avertissement :
Cet outil est destiné uniquement à des fins éducatives et ne doit être utilisé que sur des systèmes que vous possédez ou que vous êtes explicitement autorisé à tester. Une mauvaise utilisation de ce code peut entraîner des conséquences juridiques.