Exploração em Massa CVE-2025-13486

Advanced Custom Fields: Extended 0.9.0.5 - 0.9.1.1 - Execução Remota de Código Não Autenticada em prepare_form

⚠️ Detalhes da Vulnerabilidade

O plugin Advanced Custom Fields: Extended para WordPress é vulnerável à Execução Remota de Código nas versões 0.9.0.5 a 0.9.1.1 através da função prepare_form(). Isso se deve à função aceitar entrada do usuário e depois passá-la por call_user_func_array(). Isso possibilita que atacantes não autenticados executem código arbitrário no servidor, o que pode ser usado para injetar backdoors ou criar novas contas de usuário administrativo.

🚀 Uso

Execute o script a partir da linha de comando:

python CVE-2025-13486.py -l list.txt --email [email protected] --user new_user --password new_password

📝 Opções

options:
  -u, --url URL         Single target WordPress site URL
  -l yourlist.txt
                        File containing list of domains/URLs
  --email, --email EMAIL
                        Email to set 
  --user USERNAME
                        Username to create (default: nemesis)
  --password PASSWORD
                        Password to set (default: Warga@Sipil1337)
  -o output.txt
                        Output file to save successful results (default: success_results.txt)