CVE-2025-4322 : Escalation dei Privilegi non Autenticata tramite Aggiornamento Password "Account Takeover 🔥"

Descrizione :

Il tema Motors per WordPress è vulnerabile all'escalation dei privilegi tramite account takeover in tutte le versioni fino alla 5.6.67 inclusa. Ciò è dovuto al fatto che il tema non convalida correttamente l'identità di un utente prima di aggiornare la password. Ciò rende possibile per attaccanti non autenticati modificare password arbitrarie di utenti, inclusi gli amministratori, e sfruttare ciò per ottenere accesso al loro account.

Metriche :

CNA: Wordfence Punteggio Base: 9.8 ⚫ CRITICO Vettore: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

📌 Informazioni sul Tema:

• Plugin: Motors <= 5.6.67 - Escalation dei Privilegi non Autenticata tramite Aggiornamento Password/Account Takeover
• Versione Vulnerabile: <= 5.6.67
• CVE: CVE-2025-4322
• Gravità: 9.8 (Critico)
• ID CWE: CWE-620
• Nome CWE: Cambio Password Non Verificato
• Corretto: ✅ Sì
• Priorità della Patch: ⚫ Critica
• Data di Pubblicazione: 19 Maggio 2025

⚠️ Riepilogo della Vulnerabilità:

• Il tema Motors per WordPress (fino alla versione 5.6.67 inclusa) contiene un grave difetto di autenticazione nella funzionalità di reimpostazione della password.
• Fornisce un meccanismo front-end di aggiornamento password tramite endpoint, ma non convalida correttamente l'identità o l'autorizzazione dell'utente prima di elaborare le modifiche alla password.
• Di conseguenza, attaccanti non autenticati possono inviare richieste HTTP predisposte che forniscono un user_id, un hash_check arbitrario e una nuova password (stm_new_password) per reimpostare la password di qualsiasi utente — inclusi gli amministratori.

Se sfruttata, questo consente agli attaccanti di:

• Ottenere accesso amministrativo,
• Prendere il controllo dell'intero sito,
• Distribuire backdoor persistenti o plugin dannosi.

🧪 Prova di Concetto (PoC):

📥 Richiesta (es. tramite curl):

curl "https://local.ization/loginregister/?user_id=2&hash_check=%C0" --data "stm_new_password=randomizer" -XPOST -v -H 'User-Agent: Mozilla/5.0 (Linux; Android 6.0; Nexus 5 Build/MRA58N) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/136.0.0.0 Mobile Safari/537.36'

🛠️ Dov'è il difetto?

• Il tema Motors espone un gestore di reimpostazione password front-end tramite endpoint come /login, /register, /loginregister, ecc.
• Questo gestore accetta user_id, hash_check e stm_new_password tramite richieste HTTP POST non autenticate
• Il tema non verifica l'identità o l'autenticità del richiedente
• Fino a quando un attaccante fornisce un hash_check valido o aggirabile, il sistema elabora ciecamente le modifiche alla password
• Non c'è autenticazione, convalida del nonce o controllo di proprietà prima di aggiornare le credenziali dell'utente

🔐 Raccomandazione

• Disabilitare o limitare l'accesso agli endpoint front-end come /loginregister/ o simili se non in uso
• Implementare una rigorosa convalida dell'identità prima di elaborare richieste di reimpostazione password (es. controllo utente loggato, convalida token sicuro)
• Evitare di fare affidamento su user_id o hash_check forniti dal client senza verifica lato server
• Applicare aggiornamenti all'ultima versione del tema Motors, o utilizzare patching virtuale (es. tramite WAF) per bloccare richieste POST non autorizzate
• Controllare regolarmente gli endpoint pubblici per comportamenti imprevisti o non documentati

⚠️ Dichiarazione di non responsabilità

Questo report è solo a scopo educativo e di test di sicurezza autorizzato. Lo sfruttamento di questa vulnerabilità senza autorizzazione potrebbe violare limiti legali ed etici.