WordPress Plugin Digits OTP Bypass (CVE-2025-4094)

Обзор

Этот скрипт представляет собой эксплойт для плагина WordPress Digits (версии < 8.4.6.1), который позволяет обойти OTP-аутентификацию (одноразовый пароль) методом перебора (brute force). Эксплойт использует уязвимость, обозначенную как CVE-2025-4094. Скрипт был доработан для использования ThreadPoolExecutor для параллельных атак, что значительно ускоряет процесс перебора.

Автор эксплойта: Saleh Tarawneh

Требования

• Python 3.x
• библиотека requests
• библиотека argparse (входит в стандартную библиотеку Python)
• библиотека colorama

Вы можете установить необходимые библиотеки с помощью pip:

pip install -r requirements.txt

Использование

Для запуска скрипта используйте следующую команду:

python3 otp_bypass.py -u <TARGET_URL> -p <PHONE_NUMBER> -i <INSTANCE_ID> [OPTIONS]

Аргументы

• -u, --url: (Обязательный) URL цели (например, https://example.com/wp-admin/admin-ajax.php)
• -p, --phone: (Обязательный) Номер телефона цели (только цифры)
• -i, --instance-id: (Обязательный) Instance ID из перехваченного запроса
• -d, --digits: (Необязательный) Длина OTP (4 или 6 цифр, по умолчанию 4)
• -w, --workers: (Необязательный) Количество параллельных рабочих процессов (по умолчанию 10)
• --start: (Необязательный) Начальное значение OTP (по умолчанию 0)
• --end: Конечное значение OTP (по умолчанию: 9999 для 4-значного, 999999 для 6-значного)

Пример

python3 otp_bypass.py -u https://example.com/wp-admin/admin-ajax.php -p 1234567890 -i <INSTANCE_ID> -d 4 -w 10

Вывод

Скрипт будет отображать ход выполнения и результаты в терминале. Если действительный OTP будет найден, он выведет успешный OTP и фрагмент ответа сервера.

Важное примечание

Используйте ответственно и только на авторизованных системах. Несанкционированный доступ к системам противозаконен и неэтичен. Этот скрипт предназначен для образовательных целей и тестирования безопасности с разрешения владельца.

Лицензия

Этот проект лицензирован в соответствии с лицензией MIT. Подробности см. в файле LICENSE.

Отказ от ответственности

Автор и участники не несут ответственности за любое неправомерное использование или ущерб, причинённый этим скриптом. Всегда убедитесь, что у вас есть разрешение на тестирование систем, на которые вы нацеливаетесь.