CVE-2025-14440 漏洞利用工具 - WordPress 插件认证绕过检测

CVE-2025-14440 WordPress 认证绕过漏洞利用工具

项目概述

这是一个针对 WordPress JAY Login & Register 插件 认证绕过漏洞（CVE-2025-14440）的专业安全测试工具。该漏洞源于插件在 jay_login_register_process_switch_back 函数中的认证逻辑缺陷，对 jay_login_register_switched_from_user Cookie 的值验证不充分，导致未经身份验证的攻击者能够以任意现有用户身份登录系统。

该工具由安全研究人员 Nxploited 开发，旨在帮助安全专业人员快速验证目标系统是否存在此高危漏洞，并获取有效的会话凭证。

漏洞严重性

CVE 编号：CVE-2025-14440
CVSS 评分：9.8（严重）
影响版本：JAY Login & Register ≤ 2.4.01
攻击向量：网络远程利用
权限要求：无需任何权限
影响范围：可获取管理员权限

安装指南

系统要求

Python 3.6 及以上版本
网络访问权限（用于向目标站点发送请求）
仅 3 个标准库依赖：requests、re、argparse、logging、os、sys

依赖安装

本项目仅依赖 Python 标准库和 requests 库，安装方式如下：

bash 复制代码

# 安装 requests 依赖
pip install requests

获取工具

bash 复制代码

# 克隆仓库
git clone https://github.com/Nxploited/CVE-2025-14440.git

# 进入项目目录
cd CVE-2025-14440

---|------|------|------| | --url | -u | ✅ | 目标网站 URL，可带或不带 http:// 或 https:// 前缀 | | --id | -id | ❌ | 目标用户 ID，默认可利用管理员账户（ID=1） |

使用示例

示例 1：攻击默认管理员账户

bash 复制代码

python3 CVE-2025-14440.py -u https://example.com -id 1

示例 2：攻击指定用户 ID

bash 复制代码

python3 CVE-2025-14440.py -u http://192.168.1.100/wordpress -id 5

示例 3：不带协议前缀的 URL

bash 复制代码

python3 CVE-2025-14440.py -u example.com/wordpress -id 1

预期输出

✅ 成功利用

ini 复制代码

=======================================================
# CVE-2025-14440 | Exploit By Nxploited (Khaled Alenazi)
# GitHub: https://github.com/Nxploited
# Telegram: https://t.me/Nxploited
=======================================================
[INFO] Sanitized target URL: https://example.com
[INFO] Attempting to extract Nonce...
[INFO] Extracted nonce: a1b2c3d4e5f6g7h8i9j0
[INFO] Attempting exploitation...
[SUCCESS] Exploitation successful. Cookies:
  wordpress_logged_in_xxx=admin%7C1234567890%7C...; jay_login_register_switched_from_user=1
[INFO] Cookies saved to: extracted_cookies.txt
[INFO] Exploit process completed. Check extracted_cookies.txt.

❌ 利用失败

css 复制代码

[ERROR] Failed to extract nonce! Exiting.

或

csharp 复制代码

[WARNING] No cookies returned. Exploitation may have failed.

⚠️ 重要提示

本工具仅供教育研究和授权渗透测试使用。

未经目标系统所有者明确授权，严禁使用本工具

作者对任何非法使用或由此造成的损害概不负责

使用本工具前请确保遵守当地法律法规

建议仅在自有系统或获得书面授权的环境中测试

🙋 作者信息

开发：Nxploited (Khaled Alenazi)
GitHub ：github.com/Nxploited
Telegram ：t.me/Nxploited 6HFtX5dABrKlqXeO5PUv/2txb5liAVFJfw9eE+nSSaQ=