一括エクスプロイト CVE-2025-13486

Advanced Custom Fields: Extended 0.9.0.5 - 0.9.1.1 - prepare_form における未認証リモートコード実行

⚠️ 脆弱性の詳細

WordPress 向けプラグイン Advanced Custom Fields: Extended は、バージョン 0.9.0.5 から 0.9.1.1 において、prepare_form() 関数を介したリモートコード実行の脆弱性の影響を受けます。これは、この関数がユーザー入力を受け入れ、その入力を call_user_func_array() に渡すことに起因します。これにより、未認証の攻撃者がサーバー上で任意のコードを実行できるようになり、バックドアの埋め込みや新しい管理者ユーザーアカウントの作成に悪用される可能性があります。

🚀 使い方

コマンドラインからスクリプトを実行します：

python CVE-2025-13486.py -l list.txt --email [email protected] --user new_user --password new_password

📝 オプション

options:
  -u, --url URL         Single target WordPress site URL
  -l yourlist.txt
                        File containing list of domains/URLs
  --email, --email EMAIL
                        Email to set 
  --user USERNAME
                        Username to create (default: nemesis)
  --password PASSWORD
                        Password to set (default: Warga@Sipil1337)
  -o output.txt
                        Output file to save successful results (default: success_results.txt)

⚖️ 責任ある情報開示と免責事項

• このリポジトリは、セキュリティ研究、テスト、および防御目的のために提供されています。
• 所有していないシステム、またはテストする明示的な許可を得ていないシステムに対して、これらの手法を使用しないでください。
• 脆弱性の不正な悪用は違法であり、非倫理的です。
• サイト所有者で、脆弱性の影響を受ける可能性があると思われる場合は、プラグイン/テーマを最新バージョンに更新するか、ベンダーのパッチを直ちに適用してください。
• このコードは、認可された環境（ラボ、クライアント承認済みのペンテスト、または明示的な許可を得た環境）でのみ使用してください。