CVE-2025-4380 - Plugin Ads Pro <= 4.89 - Exploit de Inclusão de Arquivo Local (LFI)

Descrição

Este exploit em Python tem como alvo o Plugin Ads Pro ≤ 4.89 para WordPress, vulnerável a Inclusão de Arquivo Local (LFI) através da ação AJAX bsa_preview_callback.

Um atacante não autenticado pode explorar isso para ler arquivos arbitrários do sistema de arquivos do servidor, incluindo arquivos sensíveis como /etc/passwd, wp-config.php e outros.

Funcionalidades do Exploit

• Explora a vulnerabilidade LFI CVE-2025-4380.
• Suporta exploração de alvo único ou em massa.
• Salva resultados em arquivo (opcional).
• Suporta proxies HTTP ou roteamento TOR.
• Mecanismo de retry para confiabilidade.

Uso

Alvo Único

python3 cve_2025_4380.py -u http://target.com -p ../../../../etc/passwd

Múltiplos Alvos (Varredura em Massa)

python3 cve_2025_4380.py -l targets.txt -p ../../../../etc/shadow

Salvar Resultado em Arquivo

python3 cve_2025_4380.py -u http://target.com -p ../../../../etc/passwd -o output.txt

Usar Proxy (ex.: Burp, TOR)

python3 cve_2025_4380.py -u http://target.com -p ../../../../etc/passwd --proxy http://127.0.0.1:8080

Parâmetros

Exemplo

Requisição/Resposta do Burpsuite

Referência da Vulnerabilidade

• CVE-2025-4380
• Plugin Ads Pro <= 4.89 - Inclusão de Arquivo Local via bsa_template em bsa_preview_callback

⚠️ Aviso Legal

Este exploit é fornecido apenas para fins educacionais e testes de segurança autorizados.

Canais Oficiais

• YouTube @rootctf
• X @r0otk3r