Mass Exploit CVE-2025-13486

Advanced Custom Fields: Extended 0.9.0.5 - 0.9.1.1 - अनधिकृत दूरस्थ कोड निष्पादन prepare_form में

⚠️ भेद्यता विवरण

Advanced Custom Fields: Extended वर्डप्रेस प्लगइन संस्करण 0.9.0.5 से 0.9.1.1 में prepare_form() फ़ंक्शन के माध्यम से दूरस्थ कोड निष्पादन की भेद्यता है। यह इस कारण है कि फ़ंक्शन उपयोगकर्ता इनपुट स्वीकार करता है और फिर उसे call_user_func_array() के माध्यम से पास करता है। इससे अनधिकृत हमलावरों के लिए सर्वर पर मनमाना कोड निष्पादित करना संभव हो जाता है, जिसका उपयोग बैकडोर इंजेक्ट करने या नए व्यवस्थापक उपयोगकर्ता खाते बनाने के लिए किया जा सकता है।

🚀 उपयोग

स्क्रिप्ट को कमांड लाइन से चलाएँ:

python CVE-2025-13486.py -l list.txt --email [email protected] --user new_user --password new_password

📝 विकल्प

options:
  -u, --url URL         एकल लक्ष्य वर्डप्रेस साइट URL
  -l yourlist.txt
                        डोमेन/URLs की सूची वाली फ़ाइल
  --email, --email EMAIL
                        सेट करने के लिए ईमेल
  --user USERNAME
                        बनाने के लिए उपयोगकर्ता नाम (डिफ़ॉल्ट: nemesis)
  --password PASSWORD
                        सेट करने के लिए पासवर्ड (डिफ़ॉल्ट: Warga@Sipil1337)
  -o output.txt
                        सफल परिणामों को सहेजने के लिए आउटपुट फ़ाइल (डिफ़ॉल्ट: success_results.txt)

⚖️ जिम्मेदार प्रकटीकरण और अस्वीकरण

• यह रिपॉजिटरी सुरक्षा अनुसंधान, परीक्षण और रक्षात्मक उद्देश्यों के लिए प्रदान की गई है।
• इन तकनीकों का उपयोग उन प्रणालियों के विरुद्ध न करें जिनके आप स्वामी नहीं हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट प्राधिकरण नहीं है।
• भेद्यताओं का अनधिकृत शोषण अवैध और अनैतिक है।
• यदि आप एक साइट स्वामी हैं और मानते हैं कि आप कमजोर हैं, तो प्लगइन/थीम को नवीनतम संस्करण में अपडेट करें या विक्रेता पैच को तुरंत लागू करें।
• इस कोड का उपयोग केवल अधिकृत वातावरण में करें (प्रयोगशाला, ग्राहक-अनुमोदित पेन टेस्ट, या स्पष्ट अनुमति के साथ)।