CVE-2025-2563 — 用户注册与会员插件 | 全链管理员权限提升

  ██╗   ██╗███████╗███████╗██████╗       ██████╗ ███████╗ ██████╗ 
  ██║   ██║██╔════╝██╔════╝██╔══██╗     ██╔══██╗██╔════╝██╔════╝ 
  ██║   ██║███████╗█████╗  ██████╔╝     ██████╔╝█████╗  ██║  ███╗
  ██║   ██║╚════██║██╔══╝  ██╔══██╗     ██╔══██╗██╔══╝  ██║   ██║
  ╚██████╔╝███████║███████╗██║  ██║     ██║  ██║███████╗╚██████╔╝
   ╚═════╝ ╚══════╝╚══════╝╚═╝  ╚═╝     ╚═╝  ╚═╝╚══════╝ ╚═════╝ 

CVE-2025-2563 — 通过 WordPress 用户注册与会员插件实现未授权权限提升。 全链利用：匿名注册 → 滥用会员 nonce → 接管管理员角色。

漏洞摘要

攻击链

[1] 扫描目标
       ↓
[2] 获取 /membership-pricing/ 和 /membership-registration/
       ↓
[3] 提取 form_id、membership_id、security nonce、ur_frontend_form_nonce
       ↓
[4] POST 到 /wp-admin/admin-ajax.php
    action=user_registration_user_form_submit
    → 创建任意用户账户（未授权）
       ↓
[5] 通过 ur_membership_frontend_localized_data 滥用会员 JS nonce
    → 为新账户分配管理员级会员计划
       ↓
[6] 在 /wp-admin/users.php 和 /wp-admin/plugin-install.php 验证管理员访问权限
       ↓
[7] 保存凭据 → NATA_admin.txt

特性

• 批量利用 — 多线程，并行处理数百个目标
• 智能 nonce 提取 — 自动从 3 个以上注册端点抓取安全令牌
• 完整组合暴力破解 — 尝试所有发现的 form_id × membership_id × nonce 组合
• 管理员验证 — 在标记成功前确认实际 wp-admin 访问权限
• 清晰输出 — 使用 Rich 终端 UI，实时显示每个目标状态
• 自动日志 — 凭据保存到 NATA_admin.txt，注册记录保存到 reg.txt

运行环境

pip install requests rich

使用方法

# 1. 将目标添加到 list.txt（每行一个 URL）
# 2. 运行
python CVE-2025-2563.py

输入： list.txt

https://target1.com
https://target2.com
https://target3.com

输出： NATA_admin.txt

[2025-04-20 08:00:00] https://target.com/wp-login.php user:natxploit_abc pass:NATA_adminSA

输出文件

检测（防御方注意事项）

监控以下行为：

• 重复 POST 到 /wp-admin/admin-ajax.php 并带有 action=user_registration_user_form_submit
• 从不可信注册过程中突然出现具有管理员角色的新用户
• 请求 /membership-registration/ 后立即进行 AJAX 会员分配

补丁： 将 User Registration & Membership 插件更新至 >= 4.1.2 版本

免责声明

本工具仅用于授权的渗透测试和安全研究。 作者对滥用行为不承担任何责任。请务必在测试前获得明确的书面授权。

作者

Natan Utama — github.com/dokter69 | Telegram: @ayasyanaro