CVE-2024-10508

在 RegistrationMagic <= 6.0.2.6 上通过密码恢复实现未经身份验证的权限提升

免责声明：此信息仅供参考和教育目的。本文档旨在提高对安全漏洞的认识，不应被用于任何未经授权或恶意的活动。未经许可利用这些漏洞的行为是非法且不道德的。

用于 WordPress 的 RegistrationMagic – User Registration Plugin with Custom Registration Forms 插件在 6.0.2.6 及之前的所有版本中，存在通过帐户接管进行权限提升的漏洞。这是因为该插件在更新用户密码之前，未能正确验证密码重置令牌。这使得未经身份验证的攻击者能够重置任意用户（包括管理员）的密码，并获得这些帐户的访问权限。

在研究了与此 CVE 相关的多个来源后，我意识到针对该 CVE 的攻击非常简单，不需要诸如 Burpsuite 或 Postman 之类的额外应用程序。该 CVE 仅需要一个具有管理员权限的帐户的电子邮件，并通过 /password-recovery 页面或其他自定义密码重置页面重置密码。

依赖

• 管理员已设置的密码重置页面（默认情况下未设置）
• 已知具有管理员级别的电子邮件帐户

PoC

1. 访问安装了此插件（RegistrationMagic）的目标登录页面
2. 点击“忘记密码”，如果页面跳转到密码重置页面，则说明管理员已设置密码重置页面；如果没有，则说明未设置。
3. 填写一个具有管理员级别的电子邮件地址，然后发送。
4. 之后，在 URL 末尾添加 ?reset_token=，然后重置密码。
5. 重置密码后，您现在可以使用之前设置的密码登录。