Skip to content
KitploitKITPLOIT
도구블로그
제출
도구블로그
제출

해킹, 침투 테스트 및 사이버 보안 도구를 당신의 보안 무기고에!

Kitploit은 해킹, 사이버 보안 및 침투 테스트 도구 디렉토리입니다. 최신 프로젝트 업데이트를 발견하여 취약점을 찾고, 시스템을 분석하고, 테스트를 자동화하고, 보안을 강화하세요.

··피드·문의·개인정보·© 2026 Kitploit

도구 디렉토리

카테고리

모든 카테고리 보기
Loading categories
CVE-2025-11749 — AI Engine <= 3.1.3 - 인증되지 않은 민감 정보 노출을 통한 권한 상승 | Kitploit
도구/GitHubGitHub/nxploited/cve-2025-11749
Privilege EscalationVulnerability AnalysisExploitationWeb Application ExploitationInformation GatheringWeb SecurityPenetration Testing
GitHubnxploited/cve-2025-11749

CVE-2025-11749

AI Engine <= 3.1.3 - 인증되지 않은 민감 정보 노출을 통한 권한 상승

저장소 보기
84510개월 전아직 검토되지 않음

인기

모두 보기 →

커뮤니티에서 가장 많이 사용되는 도구를 찾아보세요.

모든 도구 탐색

도구 컬렉션을 둘러보세요

모든 도구 보기 →
공유

CVE-2025-11749

AI Engine <= 3.1.3 - 인증되지 않은 민감 정보 노출로 인한 권한 상승

⚠️ AI Engine <= 3.1.3 — 인증되지 않은 민감 정보 노출 → 권한 상승

GitHub: Nxploited
Telegram: @KNxploited

중요 공지:
제가 만든 코드를 재판매하거나 스크립트 이름을 바꾸고 저작권을 주장하며 부당 이익을 취하는 비윤리적인 사람들이 많습니다. 이 프로젝트는 Khaled Alenazi (Nxploited)가 공식적으로 발행한 무료 독점 프로젝트입니다.

🔎 요약

WordPress용 AI Engine 플러그인(버전 3.1.3 이하)은 특정 플러그인 설정이 활성화된 경우 노출된 REST API 엔드포인트를 통해 인증되지 않은 사용자가 내부 bearer/세션 토큰을 가져올 수 있는 정보 공개 취약점을 가지고 있습니다. 이러한 토큰을 획득한 공격자는 관리자 계정 생성 등 권한을 상승시켜 사이트 전체를 장악할 수 있습니다.

  • 영향받는 제품: AI Engine (WordPress 플러그인)
  • 영향받는 버전: ≤ 3.1.3
  • 취약점: 민감 정보 노출 → 권한 상승
  • CVE: CVE-2025-11749
  • CVSS v3: 9.8 (심각)

스크립트 데모

100

📋 빠른 참조

필드값
취약점인증되지 않은 민감 정보 노출
제품AI Engine (WordPress 플러그인)
영향받는 버전≤ 3.1.3
CVECVE-2025-11749
CVSS (v3)9.8 (심각)
영향권한 상승, 관리자 계정 생성

✨ 기능

  • 대규모 대상 목록의 빠른 멀티스레드 스캔
  • 사이트별 유효 토큰 자동 추출 및 로깅
  • 분석을 위한 명확하고 정리된 출력 파일
  • 자동화된 관리자 계정 생성 및 로그인 확인
  • 전문적인 CLI 프롬프트 및 세련된 콘솔 출력

🚀 사용 방법

스크립트 파일명: CVE-2025-11749.py
필요 사항: Python 3.8+ (권장 3.10+), requests, rich

1. 환경 준비

Linux/macOS:

root@kitploit:~
python3 -m venv .venv
source .venv/bin/activate
python -m pip install --upgrade pip
pip install requests rich

Windows (PowerShell):

root@kitploit:~
python -m venv .venv
.\.venv\Scripts\Activate.ps1
python -m pip install --upgrade pip
pip install requests rich

2. 대상 파일 생성

list.txt 파일을 만듭니다.

  • 한 줄에 하나의 웹사이트 URL을 입력합니다 (http:// 또는 https:// 포함)

예시:

root@kitploit:~
https://example1.com
http://example2.com

3. 스크립트 실행

대화형 (권장):

root@kitploit:~
python CVE-2025-11749.py
  • 스크립트가 대상 파일 이름과 스레드 수를 입력하도록 요청합니다.

비대화형 (해당 버전에서 CLI 플래그를 지원하는 경우):

root@kitploit:~
python CVE-2025-11749.py --targets list.txt --threads 10

4. 출력 파일 검토

  • tokens_only.txt — 토큰이 감지된 대상 목록
  • success_results.txt — 권한 상승이 성공한 대상 목록
  • created_admins.txt — 성공적으로 생성된 관리자 계정 세부 정보

출력은 작업 디렉토리에 자동으로 저장됩니다. 각 출력은 명확성과 후속 분석을 위해 형식화됩니다.

💡 참고 사항

  • 합법적인 대상에만 사용하십시오.
  • 큰 목록의 경우 필요에 따라 스레드 수를 늘리십시오.
  • 다중 실행 자동화의 경우 list.txt를 적절한 크기의 청크로 분할하십시오.

🛡️ 완화 및 패치 지침

  1. 업데이트: AI Engine을 최신 버전으로 업그레이드하십시오.
  2. 비활성화: 인증되지 않은 요청에 토큰을 노출하는 설정(예: "No-Auth URL")을 제거하십시오.
  3. 교체: 패치 후 모든 세션 토큰, nonce, 자격 증명을 변경하십시오.
  4. 제한: WAF/IP 허용 목록을 사용하여 REST API 액세스를 제어하십시오.
  5. 감사: 로그를 모니터링하고 사용자를 검토하여 권한 남용을 확인하십시오.

🧾 법적 고지

이 프로젝트는 교육 및 승인된 평가 목적으로만 배포됩니다.
승인되지 않은 시스템에 대한 모든 사용은 엄격히 금지됩니다.
이 스크립트를 사용함으로써 귀하는 모든 법률 및 규정을 준수하는 데 동의하는 것입니다.

제작: Khaled Alenazi (Nxploited)
GitHub: Nxploited
Telegram: @KNxploited

도구 다운로드