CVE-2025-4322 : Escalade de privilèges non authentifiée via Mise à jour du mot de passe "Prise de contrôle de compte 🔥"

Description :

Le thème Motors pour WordPress est vulnérable à une escalade de privilèges via une prise de contrôle de compte dans toutes les versions jusqu'à la version 5.6.67 incluse. Cela est dû au fait que le thème ne valide pas correctement l'identité d'un utilisateur avant de mettre à jour son mot de passe. Cela permet à des attaquants non authentifiés de modifier les mots de passe d'utilisateurs arbitraires, y compris ceux des administrateurs, et d'en tirer parti pour accéder à leur compte.

Métriques :

CNA : Wordfence Score de base : 9.8 ⚫ CRITIQUE Vecteur : CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

📌 Informations sur le thème :

• Plugin: Motors <= 5.6.67 - Escalade de privilèges non authentifiée via Mise à jour du mot de passe / Prise de contrôle de compte
• Version vulnérable : <= 5.6.67
• CVE : CVE-2025-4322
• Sévérité : 9.8 (Critique)
• ID CWE : CWE-620
• Nom CWE : Changement de mot de passe non vérifié
• Corrigé : ✅ Oui
• Priorité du correctif : ⚫ Critique
• Date de publication : 19 mai 2025

⚠️ Résumé de la vulnérabilité :

• Le thème Motors pour WordPress (jusqu'à la version 5.6.67 incluse) contient une faille d'authentification critique dans sa fonctionnalité de réinitialisation de mot de passe.

• Il fournit un mécanisme de mise à jour de mot de passe côté front-end via des points de terminaison, mais ne parvient pas à valider correctement l'identité ou l'autorisation de l'utilisateur avant de traiter les changements de mot de passe.

• En conséquence, des attaquants non authentifiés peuvent envoyer des requêtes HTTP conçues qui fournissent un user_id, un hash_check arbitraire et un nouveau mot de passe (stm_new_password) pour réinitialiser le mot de passe de n'importe quel utilisateur — y compris les administrateurs.

Si elle est exploitée, cela permet aux attaquants de :

• Accéder aux droits d'administration,
• Prendre le contrôle de l'ensemble du site,
• Déployer des backdoors persistants ou des plugins malveillants.

🧪 Preuve de concept (PoC) :

📥 Requête (ex. via curl) :

curl "https://local.ization/loginregister/?user_id=2&hash_check=%C0" --data "stm_new_password=randomizer" -XPOST -v -H 'User-Agent: Mozilla/5.0 (Linux; Android 6.0; Nexus 5 Build/MRA58N) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/136.0.0.0 Mobile Safari/537.36'

🛠️ Où se trouve la faille ?

• Le thème Motors expose un gestionnaire de réinitialisation de mot de passe côté front-end via des points de terminaison comme /login, /register, /loginregister, etc.
• Ce gestionnaire accepte user_id, hash_check et stm_new_password via des requêtes HTTP POST non authentifiées
• Le thème ne vérifie pas l'identité ou l'authenticité du demandeur
• Tant qu'un attaquant fournit un hash_check valide ou contournable, le système traite les changements de mot de passe aveuglément
• Il n'y a pas d'authentification, de validation de nonce ou de vérification de propriété avant de mettre à jour les informations d'identification de l'utilisateur

🔐 Recommandation

• Désactiver ou restreindre l'accès aux points de terminaison /loginregister/ ou similaires s'ils ne sont pas utilisés
• Mettre en place une validation stricte de l'identité avant de traiter les demandes de réinitialisation de mot de passe (par exemple, vérification de l'utilisateur connecté, validation par jeton sécurisé)
• Éviter de se fier à user_id ou hash_check fournis par le client sans vérification côté serveur
• Appliquer les mises à jour vers la dernière version du thème Motors, ou utiliser un correctif virtuel (par exemple via WAF) pour bloquer les requêtes POST non autorisées
• Auditer régulièrement les points de terminaison publics pour détecter des comportements inattendus ou non documentés

⚠️ Avertissement

Ce rapport est destiné uniquement à des fins éducatives et de tests de sécurité autorisés. L'exploitation de cette vulnérabilité sans autorisation peut violer les limites légales et éthiques.