CVE-2025-4389 漏洞利用

详细信息

• 发布日期: 2025年5月16日
• 更新日期: 2025年5月17日
• 严重性: 严重（CVSS评分：9.8）
• CWE: CWE-434: CWE-434 危险类型文件的不受限上传
• 受影响版本: 从 n/a 到 2.6.8.1 的所有版本
• 研究人员: https://www.wordfence.com/threat-intel/vulnerabilities/researchers/friderika-baranyai

CVSS向量

• CVSS版本: 9.8
• 向量字符串: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

描述

Crawlomatic Multipage Scraper Post Generator WordPress 插件在 2.6.8.1 及之前的所有版本中，由于 crawlomatic_generate_featured_image() 函数缺少文件类型验证，导致存在任意文件上传漏洞。这使得未经身份验证的攻击者能够在受影响站点服务器上上传任意文件，从而可能实现远程代码执行。

使用

usage: python3 CVE-2025-4389.py

脚本详情

安装

1. 克隆仓库：
   root@kitploit:~

   git clone https://github.com/Yucaerin/CVE-2025-4389.git
   cd CVE-2025-4389
   

免责声明

本脚本仅供教育目的使用。请负责任地使用，并仅在你明确获得授权的系统上运行。未经授权使用此脚本是非法且不道德的。