CVE-2025-12539

TNC Toolbox: वेब परफॉर्मेंस <= 1.4.2 - अनधिकृत संवेदनशील जानकारी प्रकटीकरण से विशेषाधिकार वृद्धि/cPanel खाता अधिग्रहण

🚨 TNC Toolbox: वेब परफॉर्मेंस <= 1.4.2 - अनधिकृत संवेदनशील जानकारी प्रकटीकरण से विशेषाधिकार वृद्धि/cPanel खाता अधिग्रहण

🛡️ विवरण

WordPress के लिए TNC Toolbox: वेब परफॉर्मेंस प्लगइन 1.4.2 तक के सभी संस्करणों में अनधिकृत संवेदनशील जानकारी प्रकटीकरण (Unauthenticated Sensitive Information Exposure) भेद्यता से ग्रस्त है। यह प्लगइन cPanel API क्रेडेंशियल्स (होस्टनेम, उपयोगकर्ता नाम और API कुंजी) को wp-content निर्देशिका के भीतर वेब-सुलभ फ़ाइलों में असुरक्षित रूप से संग्रहीत करता है। ये फ़ाइलें संवेदनशील Tnc_Wp_Toolbox_Settings::save_settings फ़ंक्शन द्वारा बिना किसी एक्सेस नियंत्रण के बनाई जाती हैं, जिससे अनधिकृत हमलावर क्रेडेंशियल्स प्राप्त कर सकते हैं और विशेषाधिकार बढ़ा सकते हैं—cPanel खाता अधिग्रहण से लेकर मनमानी फ़ाइल अपलोड और रिमोट कोड निष्पादन के माध्यम से पूर्ण होस्टिंग वातावरण से समझौता तक।

• CVE: CVE-2025-12539
• CVSS स्कोर: 10.0 (गंभीर)

🧩 स्क्रिप्ट विशेषताएँ

• TNC Toolbox प्लगइन की प्रोफेशनल और सटीक संस्करण पहचान।
• संवेदनशील संस्करण (1.4.2 या उससे कम) का पता चलने पर स्वचालित शोषण (exploitation)।
• उन्नत हेडर सिमुलेशन और SSL बाईपास विकल्पों के साथ सुरक्षित HTTP सत्र प्रबंधन।
• मानव-समान इंटरैक्शन के लिए यथार्थवादी देरी के साथ चरण-दर-चरण आउटपुट।
• विश्वसनीयता के लिए मजबूत अपवाद हैंडलिंग।
• स्वच्छ, सुव्यवस्थित JSON रिपोर्ट आउटपुट।

⚡ उपयोग

python3 CVE-2025-12539.py -u https://target-site.com

विकल्प:

• --insecure : SSL सत्यापन अक्षम करें (यदि लक्ष्य स्व-हस्ताक्षरित प्रमाणपत्रों का उपयोग करता है)।
• --timeout <seconds> : HTTP अनुरोध टाइमआउट अनुकूलित करें (डिफ़ॉल्ट: 12 सेकंड)।

🛠️ आवश्यकताएँ

• Python 3.7+
• requests पैकेज

📦 आउटपुट

• मानव-पठनीय, विलंबित चरण संदेश जो पहचान और शोषण स्थिति को कवर करते हैं।
• संरचित JSON रिपोर्ट जिसमें शामिल हैं:
  • लक्ष्य URL
  • भेद्यता स्थिति
  • पता लगाया गया प्लगइन संस्करण
  • निकाले गए cPanel क्रेडेंशियल्स (उपयोगकर्ता नाम, API कुंजी, होस्टनेम)
  • सामने आई कोई भी त्रुटियाँ

उदाहरण आउटपुट:

{
  "tool": "CVE-2025-12539-exploit",
  "description": "CVE-2025-12539 Exploit Script by: Khaled Alenazi",
  "target": "https://target-site.com",
  "checked_at": "2025-11-11T11:57:12Z",
  "vulnerable": true,
  "found_version": "1.4.2",
  "threshold_version": "1.4.2",
  "configs": {
    "cpanel-username": "admin",
    "cpanel-api-key": "**********",
    "server-hostname": "host.target.com"
  },
  "errors": ""
}

⚖️ अस्वीकरण

यह उपकरण केवल शैक्षिक और अधिकृत सुरक्षा परीक्षण उद्देश्यों के लिए है। स्पष्ट अनुमति के बिना सिस्टम के विरुद्ध उपयोग सख्त वर्जित है और अवैध हो सकता है। लेखक दुरुपयोग या उससे होने वाली किसी भी क्षति के लिए कोई दायित्व स्वीकार नहीं करता है।

👤 लेखक और संपर्क

• GitHub: Nxploited
• Telegram: KNxploited

---

द्वारा: Nxploited (Khaled Alenazi)