CVE-2025-2907 शोषण

विवरण

• प्रकाशित: 2025-04-04
• अद्यतन: 2025-03-28
• गंभीरता: गंभीर (CVSS स्कोर: 9.8)
• CWE: CWE-862: CWE-862 अनधिकृत पहुंच
• प्रभावित संस्करण: n/a से 12.3.1 तक सभी संस्करण
• शोधकर्ता: https://www.wordfence.com/threat-intel/vulnerabilities/researchers/mike-gozdiskowski

CVSS वेक्टर

• CVSS संस्करण: 9.8
• वेक्टर स्ट्रिंग: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

विवरण

WooCommerce के लिए Order Delivery Date प्लगइन WordPress में एक अनधिकृत डेटा संशोधन की कमजोरी है जो विशेषाधिकार वृद्धि का कारण बन सकती है, क्योंकि संस्करण 2.0 से 12.3.1 (विशिष्ट) में 'orddd-import-file' क्रिया पर क्षमता जांच (capability check) अनुपस्थित है। इससे बिना प्रमाणीकरण के हमलावरों के लिए WordPress साइट पर मनमाने विकल्पों को अपडेट करना संभव हो जाता है। इसका उपयोग पंजीकरण के लिए डिफ़ॉल्ट भूमिका को प्रशासक में बदलने और उपयोगकर्ता पंजीकरण सक्षम करने के लिए किया जा सकता है, ताकि हमलावर एक कमजोर साइट पर प्रशासनिक उपयोगकर्ता पहुंच प्राप्त कर सकें। कृपया ध्यान दें कि यह केवल सॉफ्टवेयर के PRO संस्करण को प्रभावित करता है।

उपयोग

usage: python3 CVE-2025-2907.py

स्क्रिप्ट विवरण

स्थापना

1. रिपॉजिटरी क्लोन करें:

   git clone https://github.com/Yucaerin/CVE-2025-2907.git
   cd CVE-2025-2907
   pip3 install -r requirements.txt
   

अस्वीकरण

यह स्क्रिप्ट केवल शैक्षिक उद्देश्यों के लिए है। इसका जिम्मेदारी से उपयोग करें और केवल उन सिस्टमों पर जिनके लिए आपके पास स्पष्ट अनुमति है। इस स्क्रिप्ट का अनधिकृत उपयोग अवैध और अनैतिक है।