CVE-2024-1698 エクスプロイトスクリプト - WordPress NotificationX <= 2.8.2 - SQLインジェクション

これは、CVE-2024-1698を悪用してWordPress管理者のユーザー名とパスワードハッシュを特定するためのエクスプロイトスクリプトです。

このPythonスクリプトは教育目的のみを意図しています。WordPressサイトのNotificationX Analytics APIにおけるCVE-2024-1698 SQLインジェクションの脆弱性を利用して、管理者の認証情報（ユーザー名とパスワードハッシュ）を抽出する概念実証を示します。このスクリプトは責任を持って、テストを許可されたシステムでのみ使用してください。許可のない悪意のある使用は固く禁じられています。

免責事項

このスクリプトの作成者および貢献者は、本ツールの使用に起因する誤用、損害、または違法行為について一切の責任を負いません。自己責任で使用してください。

必要条件

• Python 3.x
• requests ライブラリ

使い方

1. システムにPython 3.xがインストールされていることを確認してください。

2. 以下のコマンドを実行して必要な依存関係をインストールします。

   pip install requests

3. テスト環境と要件に応じて、スクリプト内の url、delay などの変数を変更します。

4. スクリプトを実行します。

   python exploit.py

5. スクリプトは管理者のユーザー名とパスワードハッシュの抽出を試みます。成功した場合は結果が表示されます。

法的および倫理的考慮事項

• このスクリプトは、テストする明示的な許可を得たシステムでのみ使用してください。コンピュータシステムへの不正アクセスは違法かつ非倫理的です。
• 他者のプライバシーとセキュリティを尊重してください。適切な許可なく機密情報にアクセスするためにこのスクリプトを使用しないでください。
• お住まいの地域のペネトレーションテストおよび倫理的ハッキングに関する法律と規制を理解し、遵守してください。
• テスト中にセキュリティ脆弱性を発見した場合は、責任ある開示の慣行に従ってください。

謝辞

このスクリプトは教育目的であり、SQLインジェクションの脆弱性に伴うリスクを示すために作成されました。ユーザーには、ウェブセキュリティのベストプラクティスを学び、ウェブアプリケーションのセキュリティ体制の向上に貢献することをお勧めします。

CVE-2024-1698の詳細ブログ（White Hack Labs 提供）: ブログ記事

ライセンス

このスクリプトは MITライセンス の下でライセンスされています。詳細はLICENSEファイルを参照してください。

このREADMEは責任ある使用、法的および倫理的考慮事項を強調し、ユーザーが教育目的で適切な許可を得た場合にのみスクリプトを使用することを推奨しています。