CVE-2025-2907 漏洞利用

详细信息

• 发布日期: 2025-04-04
• 更新日期: 2025-03-28
• 严重性: 严重 (CVSS 评分: 9.8 )
• CWE: CWE-862: CWE-862 授权缺失
• 受影响版本: 从 n/a 到 12.3.1 的所有版本
• 研究人员: https://www.wordfence.com/threat-intel/vulnerabilities/researchers/mike-gozdiskowski

CVSS 向量

• CVSS 版本: 9.8
• 向量字符串: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

描述

WordPress 的 Order Delivery Date for WooCommerce 插件存在未经授权修改数据的漏洞，可能导致权限提升，原因是在版本 2.0 到 12.3.1（不包括）中，'orddd-import-file' 操作缺少权限检查。这使得未经身份验证的攻击者能够更新 WordPress 站点上的任意选项。此漏洞可被用来将注册默认角色更新为管理员，并启用用户注册，从而使攻击者获得对易受攻击站点的管理员用户访问权限。请注意，此漏洞仅影响该软件的 PRO 版本。

使用方式

usage: python3 CVE-2025-2907.py

脚本详情

安装

1. 克隆仓库：

   git clone https://github.com/Yucaerin/CVE-2025-2907.git
   cd CVE-2025-2907
   pip3 install -r requirements.txt
   

免责声明

此脚本仅供教育目的。请负责任地使用，并仅在你拥有明确权限的系统上使用。未经授权使用此脚本是违法且不道德的。