Массовый эксплойт CVE-2025-13486

Advanced Custom Fields: Extended 0.9.0.5 - 0.9.1.1 - Неаутентифицированное удалённое выполнение кода в prepare_form

⚠️ Детали уязвимости

Плагин Advanced Custom Fields: Extended для WordPress уязвим к удалённому выполнению кода в версиях с 0.9.0.5 по 0.9.1.1 через функцию prepare_form(). Это связано с тем, что функция принимает пользовательский ввод и затем передаёт его через call_user_func_array(). Это позволяет неаутентифицированным атакующим выполнять произвольный код на сервере, что может быть использовано для внедрения бэкдоров или создания новых учётных записей администратора.

🚀 Использование

Запустите скрипт из командной строки:

python CVE-2025-13486.py -l list.txt --email [email protected] --user new_user --password new_password

📝 Параметры

options:
  -u, --url URL         Single target WordPress site URL
  -l yourlist.txt
                        File containing list of domains/URLs
  --email, --email EMAIL
                        Email to set 
  --user USERNAME
                        Username to create (default: nemesis)
  --password PASSWORD
                        Password to set (default: Warga@Sipil1337)
  -o output.txt
                        Output file to save successful results (default: success_results.txt)

⚖️ Ответственное раскрытие и отказ от ответственности

• Этот репозиторий предоставлен для исследований в области безопасности, тестирования и защитных целей.
• Не используйте эти методы против систем, которыми вы не владеете или на тестирование которых у вас нет явного разрешения.
• Несанкционированная эксплуатация уязвимостей незаконна и неэтична.
• Если вы владелец сайта и считаете, что он уязвим, немедленно обновите плагин/тему до последней версии или примените исправления от вендора.
• Используйте этот код только в авторизованных средах (лаборатория, пентест, одобренный клиентом, или с явного разрешения).