CVE-2025-5304

PT Project Notebooks 1.0.0 - 1.1.3 - Autorizzazione mancante per l'escalation di privilegi non autenticata

🚀 PT Project Notebooks ≤ 1.1.3 — Escalation di privilegi non autenticata (CVE-2025-5304)

PoC e helper per l'exploit per PT Project Notebooks versioni 1.0.0–1.1.3: la mancata autorizzazione in wpnb_pto_new_users_add() consente ad attaccanti non autenticati di elevare i privilegi di un utente scelto ad Amministratore tramite admin-ajax.php.

🧾 Descrizione

Il plugin PT Project Notebooks per WordPress è vulnerabile all'escalation di privilegi a causa della mancata autorizzazione nella funzione wpnb_pto_new_users_add() nelle versioni dalla 1.0.0 alla 1.1.3. Ciò consente ad attaccanti non autenticati di elevare i privilegi a quelli di un Amministratore per un ID utente specificato.

• CVE: CVE-2025-5304
• CVSS: 9.8 (Critico)

🛠️ Cosa fa lo script

• Controllo versione: Legge wp-content/plugins/project-notebooks/readme.txt ed estrae il tag Stable per confermare che il target sia ≤ 1.1.3.
• Scoperta del nonce: Recupera la home page del sito ed estrae custom.nonce e custom.ajax_url iniettati dal plugin nella pagina (tramite wp_localize_script).
• Escalation di privilegi: Invia una POST a admin-ajax.php con action=wpnb_pto_new_users_add, il nonce scoperto, ids=<UserID> e user_type=2 per copiare tutte le capacità di Amministratore sull'utente target.
• Supporto cookie: Se il nonce è legato a una sessione autenticata (comportamento del sito/tema), devi passare il cookie wordpress_logged_in_* corrispondente affinché wp_verify_nonce() abbia successo.

▶️ Utilizzo

python3 CVE-2025-5304.py -u "http://TARGET/wordpress" -id 28
python3 CVE-2025-5304.py -u "http://TARGET/wordpress" -id 28 -c "wordpress_logged_in_...=..."

🆘 Aiuto integrato

CVE-2025-5304.py -help
usage: t.py [-h] -u URL -id ID [-c COOKIE] [--skip-version]

CVE-2025-5304 (Nxploited Edition)

options:
  -h, --help           show this help message and exit
  -u, --url URL        Target WordPress site URL (e.g. http://127.0.0.1/wordpress)
  -id, --id ID         User ID to escalate (e.g. 28)
  -c, --cookie COOKIE  Optional Cookie header value for session-bound nonces
  --skip-version       Skip readme.txt version check

⚙️ Opzioni spiegate

• -u / --url — URL di base del sito; lo strumento lo normalizza e legge il readme del plugin + la home page.
• -id / --id — ID utente numerico WordPress da elevare (è sufficiente un Subscriber).
• -c / --cookie — Valore completo dell'header Cookie (es. wordpress_logged_in_*=...) richiesto se il nonce è legato alla sessione.
• --skip-version — Salta il controllo del tag Stable in readme.txt (utile quando il readme è nascosto o personalizzato).

Note su nonce e cookie

• Se custom.nonce è visibile in una finestra privata/incognito, è pubblico: nessun cookie necessario.
• Se hai estratto il nonce dopo aver effettuato l'accesso, devi passare lo stesso cookie wordpress_logged_in_* con -c.
• L'exploit deve usare l'esatto custom.ajax_url (schema/host/porta/percorso) mostrato nel sorgente della pagina.

⚠️ Dichiarazione di non responsabilità

Questo repository, il PoC e il codice sono forniti solo per scopi educativi e test di sicurezza autorizzati. Sei l'unico responsabile di assicurarti di avere il permesso esplicito di testare i target. L'autore non si assume alcuna responsabilità per usi impropri o danni derivanti dall'uso di questo progetto.

Di: Khaled Alenazi (Nxploited)