🍔 RestroPress – オンライン食品注文システム 3.0.0 - 3.1.9.2

🛡️ CVE-2025-9209.py — 大規模自動エクスプロイト & 抽出ツール

---

⚠️ 脆弱性概要

RestroPress – オンライン食品注文システム バージョン3.0.0から3.1.9.2は、認証されていない情報漏洩 の影響を受け、偽造JWTによる認証バイパス につながります。

このプラグインはユーザーのプライベートトークンとAPIキーデータを公開し、認証されていない攻撃者がJWTトークンを偽造して、管理者を含む他のユーザーへの完全なアクセスを取得することを可能にします。

• CVE: CVE-2025-9209
• CVSS: 9.8 (重大)
• 影響: 事前認証なしで完全なアカウント乗っ取りが可能。

---

---

🚀 スクリプト機能

• 超高速サイトスキャン（大規模リスト用のマルチスレッド実行）
• アクセス可能なすべてのアカウントのプライベート/公開鍵、トークン、認証情報を自動検出および抽出します。
• 大規模エクスプロイト — サイトごとに複数の脆弱なアカウントを特定。
• 信頼性の高い資格情報抽出 — エクスプロイト中に資格情報を検証。
• 4つの構造化ファイルに出力：
  • exposures.txt — 発見された露出と資格情報。
  • tokens.txt — 抽出されたJWTトークン。
  • exploited_sites.txt — 複数のアカウントが露出したサイト。
  • cookies.txt — エクスプロイト成功時のセッションクッキー。
• 認証や昇格された権限は不要。
• ネットワーク障害やブロックに対して耐性があり、透過的に回復および再試行します。
• 一貫した結果を得るためのスレッドセーフなファイル書き込み。

---

🛠️ 使用方法

1. ターゲットのWordPressサイトのリストをテキストファイルに配置します（1行に1つのURL）：

   root@kitploit:~

   targets.txt
   

   例： https://example.com https://victim01.com

2. スクリプトを実行します：

   root@kitploit:~

   python3 CVE-2025-9209.py
   

3. スレッド数、検証、curlフォールバック、リクエスト遅延のプロンプトに従います。

4. 生成されたテキストファイル（exposures.txt、tokens.txt、exploited_sites.txt、および cookies.txt）で出力を確認します。

---

✨ 作成者

作者: Nxploited ( Khaled Alenazi )

---

⚖️ 免責事項

• このツールは教育および許可されたセキュリティテストのみを目的として提供されています。
• 明示的な許可なしにシステムやデータに対して使用しないでください。
• 作成者は、このスクリプトの使用による誤用や損害について一切の責任を負いません。