# 🚨 CVE-2025-39601 - WordPress Custom CSS, JS & PHP プラグイン <= 2.4.1 における CSRF から RCE への脆弱性 ## 🧠 説明 **WPFactory Custom CSS, JS & PHP** プラグインの**クロスサイトリクエストフォージェリ (CSRF)** 脆弱性により、許可されていない POST リクエストを介して悪意のある PHP コードを注入することで、**リモートコード実行 (RCE)** が可能になります。これは **2.4.1 までの全バージョン** に影響します。 * **CVE ID:** CVE-2025-39601 * **公開日:** 2025-04-16 * **更新日:** 2025-04-16 * **深刻度:** 🔥 9.6 (CRITICAL) * **CWE:** CWE-352 - クロスサイトリクエストフォージェリ * **CVSS ベクター:** `CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H` * * * ## 🖼️ 視覚的証明以下は、正常に悪用された結果を示すスクリーンショットで、URL パラメータを介してリモートコードがどのように実行されるかを示しています: ![Nxploited](https://raw.githubusercontent.com/Nxploited/CVE-2025-39601/main/img.png) * * * ![Nxploited](https://raw.githubusercontent.com/Nxploited/CVE-2025-39601/main/IMG2.png) * * * ## 💥 概念実証 (PoC) root@kitploit:~ WordPress Custom CSS, JS & PHP plugin <= 2.4.1 - CSRF to RCE vulnerability

CSRF PoC - WordPress Custom CSS, JS & PHP plugin <= 2.4.1

By : Nxploited | Khaled Alenazi

Query Builder