🚨 CVE-2025-47539 – Exploit Critico del Plugin Eventin per WordPress

🔥 Riepilogo della Vulnerabilità

Il plugin Event Manager, Events Calendar, Tickets, Registrations – Eventin per WordPress è vulnerabile a escalation di privilegi non autenticata a causa di un controllo di autorizzazione mancante nella funzione import_items().

• 🔓 Versioni Affette: <= 4.0.26
• 🆔 CVE: CVE-2025-47539
• 🚨 Punteggio CVSS: 9.8 (Critica)
• 📅 Divulgazione Pubblica: 7 Maggio 2025
• 🔄 Ultimo Aggiornamento: 15 Maggio 2025

Attaccanti non autenticati possono creare una richiesta malevola all'API REST e creare un nuovo utente con privilegi administrator senza alcuna interazione da parte dell'utente.

💻 Informazioni sullo Script

Questo script Python è uno strumento di sfruttamento autonomo per CVE-2025-47539.

Esegue:

• Genera automaticamente un file payload CSV valido.
• Carica il file sull'endpoint vulnerabile.
• Attiva automaticamente il processo di importazione.
• Fornisce feedback immediato incluse le credenziali complete dell'account amministratore creato.

⚠️ Questo script è destinato esclusivamente a uso educativo e valutazioni di sicurezza professionali.

⚙️ Utilizzo

usage: a.py [-h] -u URL

Exploit for CVE-2025-47539 # By Nxploited (Khaled Alenazi)

options:
  -h, --help     show this help message and exit
  -u, --url URL  Target base URL (e.g. http://target.com)

✅ Output Previsto

By:Nxploited (Khaled_alenazi) |    [email protected]
[+] Exploitation succeeded
[+] Response:
{"message":"Successfully imported speaker"}

[+] Exploited Account Details
    Name     : Nxploited (Khaled_alenazi)
    Email    : [email protected]
    Username : NxPloted
    Password : nxploit123
    Role     : administrator

Exploit: By: Nxploited (Khaled_alenazi)
Use this script for educational purposes only. I am not responsible for your actions.

📊 Impatto

Più di 10.000+ siti WordPress sono confermati vulnerabili a questo exploit.
Tutti gli amministratori di siti che utilizzano Eventin ≤ 4.0.26 dovrebbero aggiornare immediatamente alla versione 4.0.28 o successiva.

⚠️ Dichiarazione di non responsabilità

Questo strumento è fornito esclusivamente per scopi educativi e di test di penetrazione autorizzati.
Il creatore non è responsabile per qualsiasi uso improprio o danno causato da questo script.

👤

Di: Nxploited ( Khaled_Alenazi )
📧 Contatto: [email protected]