🚨 CVE-2025-47539 – WordPress Eventin プラグインの重大なエクスプロイト

🔥 脆弱性の概要

WordPress 用プラグイン Event Manager, Events Calendar, Tickets, Registrations – Eventin は、import_items() 関数の認可チェックの欠如により、未認証の権限昇格に対して脆弱です。

🔓 影響を受けるバージョン: <= 4.0.26
🆔 CVE: CVE-2025-47539
🚨 CVSS スコア: 9.8 (Critical)
📅 公開日: May 7, 2025
🔄 最終更新日: May 15, 2025

未認証の攻撃者は、REST API に対して悪意のあるリクエストを構築し、ユーザーの操作なしに administrator 権限を持つ新しいユーザーを作成できます。

💻 スクリプトについて

この Python スクリプトは、CVE-2025-47539 用のスタンドアロン型エクスプロイトツールです。

実行内容:

有効な CSV ペイロードファイルを自動生成します。
脆弱なエンドポイントにファイルをアップロードします。
インポート処理を自動的にトリガーします。
作成された管理者アカウントの完全な認証情報を含む即時フィードバックを提供します。

⚠️ このスクリプトは教育目的および専門的なセキュリティ評価専用です。

⚙️ 使用方法

usage: a.py [-h] -u URL

Exploit for CVE-2025-47539 # By Nxploited (Khaled Alenazi)

options:
  -h, --help     show this help message and exit
  -u, --url URL  Target base URL (e.g. http://target.com)

✅ 期待される出力

By:Nxploited (Khaled_alenazi) |    [email protected]
[+] Exploitation succeeded
[+] Response:
{"message":"Successfully imported speaker"}

[+] Exploited Account Details
    Name     : Nxploited (Khaled_alenazi)
    Email    : [email protected]
    Username : NxPloted
    Password : nxploit123
    Role     : administrator

Exploit: By: Nxploited (Khaled_alenazi)
Use this script for educational purposes only. I am not responsible for your actions.

📊 影響

このエクスプロイトに対して 10,000 以上 の WordPress サイトが脆弱であることが確認されています。
Eventin ≤ 4.0.26 を使用しているすべてのサイト管理者は、バージョン 4.0.28 以降に直ちに更新してください。

⚠️ 免責事項

このツールは教育および許可されたペネトレーションテストのみを目的として提供されます。
作成者は、このスクリプトによって引き起こされた誤用や損害について一切責任を負いません。

👤

作成者: Nxploited ( Khaled_Alenazi )
📧 連絡先: [email protected]

CVE-2025-47539

人気