CVE-2024-10508

Élévation de privilèges non authentifiée via la récupération de mot de passe sur RegistrationMagic <= 6.0.2.6

Avertissement : Ces informations sont fournies à des fins éducatives uniquement. Ce document vise à sensibiliser aux vulnérabilités de sécurité et ne doit pas être utilisé pour des activités non autorisées ou malveillantes. S'engager dans des actions qui exploitent ces vulnérabilités sans permission est illégal et contraire à l'éthique.

Le plugin RegistrationMagic – User Registration Plugin with Custom Registration Forms pour WordPress est vulnérable à l'élévation de privilèges via la prise de contrôle de compte dans toutes les versions jusqu'à la version 6.0.2.6 incluse. Cela est dû au fait que le plugin ne valide pas correctement le jeton de réinitialisation de mot de passe avant de mettre à jour le mot de passe d'un utilisateur. Cela permet à des attaquants non authentifiés de réinitialiser le mot de passe d'utilisateurs arbitraires, y compris les administrateurs, et d'accéder à ces comptes.

Après avoir consulté plusieurs sources liées à cette CVE, j'ai réalisé que l'attaque sur cette CVE est assez facile et ne nécessite pas d'applications supplémentaires telles que Burpsuite ou Postman. Cette CVE ne requiert qu'un e-mail d'un compte ayant un niveau administrateur et sa réinitialisation via la page /password-recovery ou une autre page de réinitialisation de mot de passe personnalisée.

Dépendances

• Page de réinitialisation de mot de passe configurée par l'administrateur (pas par défaut)
• Connaître les adresses e-mail des comptes ayant un niveau administrateur

PoC

1. Allez sur la page de connexion de la cible qui dispose de ce plugin (RegistrationMagic)
2. Cliquez sur « Mot de passe perdu », si la page mène à la page de réinitialisation de mot de passe, cela signifie que la page de réinitialisation a été configurée par l'administrateur. Si ce n'est pas le cas, cela signifie que non.
3. Renseignez un e-mail ayant un niveau administrateur, puis envoyez-le
4. Ensuite, ajoutez ?reset_token= à la fin de l'URL, puis réinitialisez le mot de passe.
5. Après avoir réinitialisé votre mot de passe, vous pouvez maintenant vous connecter en utilisant le mot de passe que vous avez saisi précédemment.