CVE-2025-5304

PT Project Notebooks 1.0.0 - 1.1.3 - अनधिकृत प्राधिकरण से अप्रमाणित विशेषाधिकार वृद्धि (Missing Authorization to Unauthenticated Privilege Escalation)

🚀 PT Project Notebooks ≤ 1.1.3 — अप्रमाणित विशेषाधिकार वृद्धि (CVE-2025-5304)

PT Project Notebooks संस्करण 1.0.0–1.1.3 के लिए PoC और एक्सप्लॉइट सहायक: wpnb_pto_new_users_add() में अनधिकृत प्राधिकरण की कमी के कारण अप्रमाणित हमलावर किसी चुने हुए उपयोगकर्ता के विशेषाधिकारों को प्रशासक (Administrator) तक बढ़ा सकते हैं admin-ajax.php के माध्यम से।

🧾 विवरण

वर्डप्रेस के लिए PT Project Notebooks प्लगइन संस्करण 1.0.0 से 1.1.3 में फ़ंक्शन wpnb_pto_new_users_add() में अनधिकृत प्राधिकरण की कमी के कारण विशेषाधिकार वृद्धि (Privilege Escalation) की संभावना है। इससे अप्रमाणित हमलावर एक निर्दिष्ट उपयोगकर्ता आईडी के लिए प्रशासक के विशेषाधिकारों तक पहुँच प्राप्त कर सकते हैं।

• CVE: CVE-2025-5304
• CVSS: 9.8 (गंभीर)

🛠️ स्क्रिप्ट क्या करती है

• संस्करण जाँच: wp-content/plugins/project-notebooks/readme.txt पढ़कर Stable tag निकालती है ताकि पुष्टि हो सके कि लक्ष्य ≤ 1.1.3 है।
• नॉन्स खोज: साइट के मुख्य पृष्ठ को लाकर प्लगइन द्वारा पृष्ठ में इंजेक्ट किए गए custom.nonce और custom.ajax_url को निकालती है (wp_localize_script के माध्यम से)।
• विशेषाधिकार वृद्धि: admin-ajax.php पर action=wpnb_pto_new_users_add, खोजा गया nonce, ids=<UserID>, और user_type=2 के साथ POST भेजकर लक्ष्य उपयोगकर्ता पर सभी प्रशासक क्षमताओं की प्रतिलिपि बनाती है।
• कुकी समर्थन: यदि नॉन्स लॉग-इन सत्र (साइट/थीम व्यवहार) से बंधा है, तो wp_verify_nonce() के सफल होने के लिए आपको मेल खाने वाली wordpress_logged_in_* कुकी पास करनी होगी।

▶️ उपयोग

python3 CVE-2025-5304.py -u "http://TARGET/wordpress" -id 28
python3 CVE-2025-5304.py -u "http://TARGET/wordpress" -id 28 -c "wordpress_logged_in_...=..."

🆘 अंतर्निहित सहायता

CVE-2025-5304.py -help
usage: t.py [-h] -u URL -id ID [-c COOKIE] [--skip-version]

CVE-2025-5304 (Nxploited Edition)

options:
  -h, --help           show this help message and exit
  -u, --url URL        Target WordPress site URL (e.g. http://127.0.0.1/wordpress)
  -id, --id ID         User ID to escalate (e.g. 28)
  -c, --cookie COOKIE  Optional Cookie header value for session-bound nonces
  --skip-version       Skip readme.txt version check

⚙️ विकल्पों की व्याख्या

• -u / --url — आधार साइट URL; यह उपकरण इसे सामान्यीकृत करता है और प्लगइन readme + मुख्य पृष्ठ पढ़ता है।
• -id / --id — वर्डप्रेस संख्यात्मक उपयोगकर्ता आईडी जिसे विशेषाधिकार बढ़ाना है (Subscriber पर्याप्त है)।
• -c / --cookie — पूर्ण Cookie हेडर मान (जैसे wordpress_logged_in_*=...) यदि नॉन्स सत्र-बद्ध है तो आवश्यक।
• --skip-version — readme.txt के Stable tag की जाँच छोड़ें (तब उपयोगी जब readme छिपा या अनुकूलित हो)।

नॉन्स और कुकी पर नोट

• यदि custom.nonce निजी/गुप्त विंडो में दिखाई देता है, तो यह सार्वजनिक है—कुकी की आवश्यकता नहीं।
• यदि आपने लॉग-इन करते समय नॉन्स निकाला है, तो आपको वही wordpress_logged_in_* कुकी -c के साथ पास करनी होगी।
• एक्सप्लॉइट को पृष्ठ स्रोत में दिखाए गए सटीक custom.ajax_url (स्कीम/होस्ट/पोर्ट/पथ) का उपयोग करना चाहिए।

⚠️ अस्वीकरण

यह रिपॉजिटरी, PoC और कोड केवल शैक्षिक और अधिकृत सुरक्षा परीक्षण के लिए प्रदान किए गए हैं। आप पूरी तरह से सुनिश्चित करने के लिए जिम्मेदार हैं कि आपके पास लक्ष्यों का परीक्षण करने की स्पष्ट अनुमति है। लेखक इस परियोजना के उपयोग से उत्पन्न दुरुपयोग या क्षति के लिए कोई जिम्मेदारी नहीं लेता है।

द्वारा: खालिद अलेनाज़ी (Nxploited)