CVE-2025-2907 Exploit

Dettagli

• Pubblicato: 2025-04-04
• Aggiornato: 2025-03-28
• Gravità: Critica (Punteggio CVSS: 9.8 )
• CWE: CWE-862: CWE-862 Autorizzazione mancante
• Versioni interessate: Tutte le versioni da n/a fino a 12.3.1
• Ricercatore: https://www.wordfence.com/threat-intel/vulnerabilities/researchers/mike-gozdiskowski

Vettore CVSS

• Versione CVSS: 9.8
• Stringa del vettore: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Descrizione

Il plugin Order Delivery Date for WooCommerce per WordPress è vulnerabile a modifiche non autorizzate dei dati che possono portare a un'escalation dei privilegi a causa di un controllo delle capacità mancante sull'azione 'orddd-import-file' nelle versioni dalla 2.0 alla 12.3.1 (esclusa). Questo consente ad attaccanti non autenticati di aggiornare opzioni arbitrarie sul sito WordPress. Ciò può essere sfruttato per aggiornare il ruolo predefinito per la registrazione ad amministratore e abilitare la registrazione degli utenti, consentendo agli attaccanti di ottenere accesso amministrativo a un sito vulnerabile. Si noti che questo riguarda solo la versione PRO del software.

Utilizzo

usage: python3 CVE-2025-2907.py

Dettagli dello Script

Installazione

1. Clona il repository:
   root@kitploit:~

   git clone https://github.com/Yucaerin/CVE-2025-2907.git
   cd CVE-2025-2907
   pip3 install -r requirements.txt
   

Dichiarazione di non responsabilità

Questo script è inteso solo a scopo educativo. Usalo in modo responsabile e solo su sistemi per i quali hai esplicita autorizzazione. L'uso non autorizzato di questo script è illegale e non etico.