वर्डप्रेस प्लगिन Digits OTP बायपास (CVE-2025-4094)

अवलोकन

यह स्क्रिप्ट वर्डप्रेस प्लगिन Digits (संस्करण < 8.4.6.1) के लिए एक एक्सप्लॉइट है जो ब्रूट फोर्स के माध्यम से OTP (वन-टाइम पासवर्ड) प्रमाणीकरण बायपास की अनुमति देता है। यह एक्सप्लॉइट CVE-2025-4094 के रूप में पहचानी गई भेद्यता का लाभ उठाता है। स्क्रिप्ट को समानांतर हमलों के लिए ThreadPoolExecutor का उपयोग करने के लिए संशोधित किया गया है, जो ब्रूट-फोर्स प्रक्रिया को काफी तेज करता है।

एक्सप्लॉइट लेखक: Saleh Tarawneh

आवश्यकताएँ

• Python 3.x
• requests लाइब्रेरी
• argparse लाइब्रेरी (Python मानक लाइब्रेरी में शामिल)
• colorama लाइब्रेरी

आप pip का उपयोग करके आवश्यक लाइब्रेरी स्थापित कर सकते हैं:

pip install -r requirements.txt

उपयोग

स्क्रिप्ट चलाने के लिए, निम्न कमांड का उपयोग करें:

python3 otp_bypass.py -u <TARGET_URL> -p <PHONE_NUMBER> -i <INSTANCE_ID> [OPTIONS]

तर्क

• -u, --url: (आवश्यक) लक्षित URL (जैसे, https://example.com/wp-admin/admin-ajax.php)
• -p, --phone: (आवश्यक) लक्षित फ़ोन नंबर (केवल अंक)
• -i, --instance-id: (आवश्यक) इंटरसेप्टेड अनुरोध से Instance ID
• -d, --digits: (वैकल्पिक) OTP लंबाई (4 या 6 अंक, डिफ़ॉल्ट 4 है)
• -w, --workers: (वैकल्पिक) समानांतर वर्कर्स की संख्या (डिफ़ॉल्ट 10 है)
• --start: (वैकल्पिक) प्रारंभिक OTP मान (डिफ़ॉल्ट 0 है)
• --end: अंतिम OTP मान (डिफ़ॉल्ट: 4-अंक के लिए 9999, 6-अंक के लिए 999999)

उदाहरण

python3 otp_bypass.py -u https://example.com/wp-admin/admin-ajax.php -p 1234567890 -i <INSTANCE_ID> -d 4 -w 10

आउटपुट

स्क्रिप्ट टर्मिनल में प्रगति और परिणाम प्रदर्शित करेगी। यदि एक मान्य OTP मिल जाता है, तो यह सफल OTP और सर्वर से प्रतिक्रिया का एक अंश प्रिंट करेगी।

महत्वपूर्ण नोट

जिम्मेदारी से और केवल अधिकृत सिस्टम पर उपयोग करें। सिस्टम तक अनधिकृत पहुँच अवैध और अनैतिक है। यह स्क्रिप्ट शैक्षिक उद्देश्यों और अनुमति के साथ सुरक्षा परीक्षण के लिए है।

लाइसेंस

यह प्रोजेक्ट MIT लाइसेंस के अंतर्गत लाइसेंस प्राप्त है। विवरण के लिए LICENSE फ़ाइल देखें।

अस्वीकरण

लेखक और योगदानकर्ता इस स्क्रिप्ट के कारण होने वाले किसी भी दुरुपयोग या क्षति के लिए जिम्मेदार नहीं हैं। हमेशा सुनिश्चित करें कि आपके पास उन सिस्टम का परीक्षण करने की अनुमति है जिन्हें आप लक्षित कर रहे हैं।