CVE-2025-4403 एक्सप्लॉइट

विवरण

• प्रकाशित: 27 मार्च, 2025
• अद्यतन: 28 मार्च, 2025
• गंभीरता: क्रिटिकल (CVSS स्कोर: 9.8)
• CWE: CWE-22: CWE-22 किसी प्रतिबंधित निर्देशिका में पथनाम की अनुचित सीमा ('पाथ ट्रैवर्सल')
• प्रभावित संस्करण: n/a से 2.5.1 तक के सभी संस्करण
• शोधकर्ता: https://www.wordfence.com/threat-intel/vulnerabilities/researchers/michael-mazzolini

CVSS वेक्टर

• CVSS संस्करण: 9.8
• वेक्टर स्ट्रिंग: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

विवरण

वर्डप्रेस के लिए Kubio AI पेज बिल्डर प्लगइन, 2.5.1 तक के सभी संस्करणों में, thekubio_hybrid_theme_load_template फ़ंक्शन के माध्यम से लोकल फ़ाइल इन्क्लूज़न की भेद्यता से ग्रस्त है। यह बिना प्रमाणीकरण वाले हमलावरों को सर्वर पर मनमानी फ़ाइलों को शामिल करने और निष्पादित करने में सक्षम बनाता है, जिससे उन फ़ाइलों में किसी भी PHP कोड का निष्पादन संभव हो जाता है। इसका उपयोग एक्सेस नियंत्रणों को बायपास करने, संवेदनशील डेटा प्राप्त करने, या उन मामलों में कोड निष्पादन प्राप्त करने के लिए किया जा सकता है जहाँ छवियों और अन्य “सुरक्षित” फ़ाइल प्रकारों को अपलोड और शामिल किया जा सकता है।

उपयोग

usage: python3 CVE-2025-2294.py

स्क्रिप्ट विवरण

आवश्यकताएँ

• Python 3.x
• requests लाइब्रेरी

स्थापना

1. रिपॉजिटरी क्लोन करें:

   git clone https://github.com/Yucaerin/CVE-2025-2294.git
   cd CVE-2025-2294
   

2. आवश्यक Python पैकेज स्थापित करें:

   pip install requests
   

नोट

the exploit can be chained to RCE!

अस्वीकरण

यह स्क्रिप्ट केवल शैक्षिक उद्देश्यों के लिए है। इसका उपयोग जिम्मेदारी से और केवल उन सिस्टमों पर करें जिनके लिए आपके पास स्पष्ट अनुमति है। इस स्क्रिप्ट का अनधिकृत उपयोग अवैध और अनैतिक है।