🔐 CVE-2025-4322 – Motors <= 5.6.67 - 認証なしの権限昇格（パスワード更新/アカウント乗っ取り）

📌 テーマ情報

• プラグイン: Motors <= 5.6.67 - 認証なしの権限昇格（パスワード更新/アカウント乗っ取り）
• 脆弱性のあるバージョン: <= 5.6.67
• CVE: CVE-2025-4322
• 重大度: 9.8 (緊急)
• CWE ID: CWE-620
• CWE名: 未確認のパスワード変更
• パッチ適用済み: ✅ はい
• パッチ優先度: 🔴 緊急
• 公開日: 2025年5月19日
• 研究者: https://www.wordfence.com/threat-intel/vulnerabilities/researchers/friderika-baranyai

⚠️ 脆弱性の概要

Motors WordPressテーマ（バージョン5.6.67までを含む）には、パスワードリセット機能に重大な認証欠陥があります。

このテーマは、エンドポイントを介してフロントエンドのパスワード更新メカニズムを提供しますが、パスワード変更を処理する前にユーザーIDや権限を適切に検証しません。

その結果、認証されていない攻撃者は、user_id、任意のhash_check、新しいパスワード（stm_new_password）を提供する巧みに細工されたHTTPリクエストを送信し、管理者を含む任意のユーザーのパスワードをリセットできます。

悪用された場合、攻撃者は以下が可能になります：

• 管理者アクセスの取得、
• サイト全体の乗っ取り、
• 永続的なバックドアや悪意のあるプラグインの展開。

この欠陥は、ログインを必要とせず、ログを監視しない限り痕跡が残りにくいため、特に危険です。

🧪 概念実証（PoC）

📥 リクエスト（例: curl経由）:

curl "https://local.ization/loginregister/?user_id=2&hash_check=%C0" --data "stm_new_password=randomizer" -XPOST -v -H 'User-Agent: Mozilla/5.0 (Linux; Android 6.0; Nexus 5 Build/MRA58N) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/136.0.0.0 Mobile Safari/537.36'

🛠️ 脆弱性の所在

• Motorsテーマは、/login、/register、/loginregisterなどのエンドポイントを介してフロントエンドのパスワードリセットハンドラーを公開しています
• このハンドラーは、認証されていないHTTP POSTリクエストを介してuser_id、hash_check、stm_new_passwordを受け入れます
• テーマはリクエスト元のIDや信頼性を検証しません
• 攻撃者が有効または回避可能なhash_checkを提供する限り、システムは盲目的にパスワード変更を処理します
• ユーザー資格情報の更新前に、認証、ノンス検証、所有権チェックは行われません

🔐 推奨事項

• 使用していない場合は、/loginregister/ または類似のフロントエンドエンドポイントへのアクセスを無効化または制限する
• パスワードリセットリクエストを処理する前に、厳格なID検証を実装する（例：ログインユーザーチェック、安全なトークン検証）
• サーバー側の検証なしにクライアントから提供されたuser_idやhash_checkに依存しない
• Motorsテーマの最新バージョンにアップデートするか、仮想パッチ（例：WAF経由）を使用して不正なPOSTリクエストをブロックする
• 公開エンドポイントを定期的に監査し、予期しないまたは文書化されていない動作を確認する

⚠️ 免責事項

このレポートは教育および許可されたセキュリティテスト目的のみです。
許可なくこの脆弱性を悪用すると、法的および倫理的境界を越える可能性があります。