CVE-2025-4403 漏洞利用

详细信息

• 发布日期：2025年3月27日
• 更新日期：2025年3月28日
• 严重性：严重（CVSS 评分：9.8）
• CWE：CWE-22：CWE-22 对受限目录的路径名限制不当（'路径遍历'）
• 受影响版本：从 n/a 到 2.5.1 的所有版本
• 研究人员：https://www.wordfence.com/threat-intel/vulnerabilities/researchers/michael-mazzolini

CVSS 向量

• CVSS 版本：9.8
• 向量字符串：CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

描述

WordPress 的 Kubio AI Page Builder 插件在 2.5.1 及之前的所有版本中，通过 thekubio_hybrid_theme_load_template 函数存在本地文件包含漏洞。这使得未经身份验证的攻击者能够在服务器上包含并执行任意文件，从而执行这些文件中的任何 PHP 代码。这可用于绕过访问控制、获取敏感数据，或者在上传并包含图片及其他“安全”文件类型的情况下实现代码执行。

用法

usage: python3 CVE-2025-2294.py

脚本详细信息

环境要求

• Python 3.x
• requests 库

安装

1. 克隆仓库：

   root@kitploit:~

   git clone https://github.com/Yucaerin/CVE-2025-2294.git
   cd CVE-2025-2294
   

2. 安装所需的 Python 包：

   root@kitploit:~

   pip install requests
   

注意

该漏洞利用可与 RCE 链式结合！

免责声明

此脚本仅供教育目的使用。请负责任地使用，并且仅用于您已获得明确授权的系统。未经授权使用此脚本是非法且不道德的。