🍔 RestroPress – 온라인 음식 주문 시스템 3.0.0 - 3.1.9.2

🛡️ CVE-2025-9209.py — 대량 자동 익스플로잇 및 추출 도구

⚠️ 취약점 개요

RestroPress – 온라인 음식 주문 시스템 버전 3.0.0부터 3.1.9.2는 인증되지 않은 정보 노출(Unauthenticated Information Exposure) 의 영향을 받으며, 이는 위조된 JWT를 통한 인증 우회(Authentication Bypass via Forged JWT) 로 이어집니다.

이 플러그인은 사용자의 개인 토큰과 API 키 데이터를 노출하여, 인증되지 않은 공격자가 JWT 토큰을 위조하고 관리자를 포함한 다른 사용자에 대한 전체 액세스 권한을 얻을 수 있게 합니다.

CVE: CVE-2025-9209
CVSS: 9.8 (치명적)
영향: 사전 인증 없이 전체 계정 탈취가 가능합니다.

Vulnerability illustration

🚀 스크립트 기능

초고속 사이트 스캐닝 (대규모 목록을 위한 다중 스레드 실행)
액세스 가능한 모든 계정에 대해 사용 가능한 모든 개인/공개 키, 토큰 및 인증 정보를 자동으로 탐지하고 추출합니다.
대량 익스플로잇 — 사이트당 여러 취약 계정을 식별합니다.
안정적인 자격 증명 추출 — 익스플로잇 중 자격 증명을 검증합니다.
4개의 구조화된 파일로 출력합니다:
- exposures.txt — 탐지된 노출 정보와 자격 증명.
- tokens.txt — 추출된 JWT 토큰.
- exploited_sites.txt — 여러 계정이 노출된 사이트.
- cookies.txt — 성공적인 익스플로잇으로 얻은 세션 쿠키.
인증이나 상승된 권한이 필요하지 않습니다.
네트워크 오류 및 차단에 강하며, 투명하게 복구하고 재시도합니다.
일관된 결과를 위한 스레드 안전 파일 기록.

🛠️ 사용 방법

대상 WordPress 사이트 목록을 텍스트 파일에 넣습니다 (한 줄에 URL 하나):
```
targets.txt
```
예시:
```
https://example.com
https://victim01.com
```
스크립트 실행:
```
python3 CVE-2025-9209.py
```
스레드 수, 검증, curl 대체 및 요청 지연에 대한 프롬프트를 따릅니다.
생성된 텍스트 파일(exposures.txt, tokens.txt, exploited_sites.txt, cookies.txt)에서 출력 결과를 확인합니다.

✨ 제작자

제작: Nxploited ( Khaled Alenazi )

⚖️ 면책 조항

이 도구는 교육 및 승인된 보안 테스트 목적으로만 제공됩니다.
명시적 허가 없이 시스템이나 데이터에 사용하지 마십시오.
저자는 이 스크립트 사용으로 인한 오용 또는 손해에 대해 책임을 지지 않습니다.

CVE-2025-9209

인기