CVE-2025-2539
File Away <= 3.9.9.0.1 - बिना प्रमाणीकरण मनमानी फ़ाइल पढ़ने के लिए प्राधिकरण की कमी
- प्रकाशित
- 20 मार्च 2025
- अद्यतन
- 8 अप्रैल 2026
- सीएनए असाइन करना
- Wordfence
- साक्ष्य देखे गए
- 7 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:Nकम · अगले 30 दिन
- प्रतिशत
- 76.6%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
वर्डप्रेस के लिए File Away प्लगइन, 3.9.9.0.1 तक के सभी संस्करणों सहित, ajax() फ़ंक्शन में क्षमता जांच की कमी के कारण डेटा तक अनधिकृत पहुंच की भेद्यता से ग्रस्त है। यह अप्रमाणित हमलावरों के लिए, प्रतिवर्ती कमजोर एल्गोरिथ्म का लाभ उठाते हुए, सर्वर पर मौजूद मनमानी फाइलों की सामग्री को पढ़ना संभव बनाता है, जिसमें संवेदनशील जानकारी हो सकती है।
स्रोत
http/cves/2025/CVE-2025-2539.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: regex,word($.matchers[*].type)
- CVE-2025-2539एक्सप्लॉइट
CVE-2025-2539 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉयट जो WordPress File Away प्लगइन को लक्षित करता है। यह गुम क्षमता जाँच और कमजोर एल्गोरिदम का दोहन करके मनमाने सर्वर फ़ाइलों को पढ़ता है।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।