CVE-2024-32444

截至 24/01/25，此漏洞尚未有补丁，因此这只是一个产品检测模板，所有与 RealHome wordpress 主题相关的产品均受影响。

该主题允许用户通过 inspiry_ajax_register 函数注册新账户，但它未能正确检查授权或实现 nonce 验证。

如果网站启用了注册功能，攻击者可以在发送给注册函数的特制 HTTP 请求中任意指定其角色为“管理员”，从而绕过安全检查。

一旦注册为管理员，攻击者即可完全控制该 WordPress 站点，包括执行内容篡改、植入脚本以及访问用户或其他敏感数据。

如何运行此脚本？

1. 从此处下载 Nuclei
2. 将模板复制到本地系统
3. 运行以下命令：nuclei -u https://yourHost.com -t template.yaml

参考链接

• https://www.bleepingcomputer.com/news/security/critical-zero-days-impact-premium-wordpress-real-estate-plugins/

免责声明

请自行承担风险，我不会对您在未拥有或未获授权扫描的基础设施上进行的非法活动负责。

联系方式

欢迎通过 Signal 联系我。