🚨 CVE-2025-47539 – Критический эксплойт для плагина Eventin WordPress

🔥 Сводка уязвимости

Плагин Event Manager, Events Calendar, Tickets, Registrations – Eventin для WordPress уязвим к неаутентифицированному повышению привилегий из-за отсутствия проверки авторизации в функции import_items().

• 🔓 Затронутые версии: <= 4.0.26
• 🆔 CVE: CVE-2025-47539
• 🚨 Оценка CVSS: 9.8 (Критический)
• 📅 Дата раскрытия: 7 мая 2025
• 🔄 Последнее обновление: 15 мая 2025

Неаутентифицированные злоумышленники могут сформировать вредоносный запрос к REST API и создать нового пользователя с привилегиями administrator без какого-либо взаимодействия с пользователем.

💻 О скрипте

Этот скрипт на Python является автономным инструментом эксплуатации для CVE-2025-47539.

Он будет:

• Автоматически генерировать корректный CSV-файл полезной нагрузки.
• Загружать файл на уязвимую конечную точку.
• Автоматически запускать процесс импорта.
• Предоставлять немедленную обратную связь, включая полные учетные данные созданной учетной записи администратора.

⚠️ Этот скрипт предназначен только для образовательных целей и профессиональных оценок безопасности.

⚙️ Использование

usage: a.py [-h] -u URL

Exploit for CVE-2025-47539 # By Nxploited (Khaled Alenazi)

options:
  -h, --help     show this help message and exit
  -u, --url URL  Target base URL (e.g. http://target.com)

✅ Ожидаемый вывод

By:Nxploited (Khaled_alenazi) |    [email protected]
[+] Exploitation succeeded
[+] Response:
{"message":"Successfully imported speaker"}

[+] Exploited Account Details
    Name     : Nxploited (Khaled_alenazi)
    Email    : [email protected]
    Username : NxPloted
    Password : nxploit123
    Role     : administrator

Exploit: By: Nxploited (Khaled_alenazi)
Use this script for educational purposes only. I am not responsible for your actions.

📊 Влияние

Подтверждено, что более 10 000+ сайтов WordPress уязвимы для этого эксплойта.
Все администраторы сайтов, использующие Eventin ≤ 4.0.26, должны немедленно обновить до версии 4.0.28 или выше.

⚠️ Отказ от ответственности

Этот инструмент предоставляется только для образовательных целей и авторизованного тестирования на проникновение.
Создатель не несет ответственности за любое неправильное использование или ущерб, причиненный этим скриптом.

👤 Автор

Автор: Nxploited ( Khaled_Alenazi )
📧 Контакт: [email protected]