🔐 CVE-2025-4322 – Motors <= 5.6.67 - 未认证的权限提升（通过密码更新/账户接管）

📌 主题信息

• 插件：Motors <= 5.6.67 - 未认证的权限提升（通过密码更新/账户接管）
• 受影响版本：<= 5.6.67
• CVE：CVE-2025-4322
• 严重性：9.8（严重）
• CWE ID：CWE-620
• CWE名称：未经验证的密码更改
• 已修复：✅ 是
• 补丁优先级：🔴 严重
• 发布日期：2025年5月19日
• 研究员：https://www.wordfence.com/threat-intel/vulnerabilities/researchers/friderika-baranyai

⚠️ 漏洞概述

Motors WordPress主题（版本5.6.67及以下）在密码重置功能中存在一个严重认证缺陷。

该主题通过端点提供了一个前端密码更新机制，但在处理密码更改之前未能正确验证用户身份或授权。

因此，未认证的攻击者可以发送精心构造的HTTP请求，提供user_id、任意hash_check以及新密码（stm_new_password），从而重置任意用户（包括管理员）的密码。

如果被利用，攻击者可以：

• 获取管理员访问权限，
• 接管整个网站，
• 部署持久后门或恶意插件。

此漏洞特别危险，因为它无需登录，而且除非监控日志，否则通常不会留下明显痕迹。

🧪 概念验证（PoC）

📥 请求（例如通过curl）：

curl "https://local.ization/loginregister/?user_id=2&hash_check=%C0" --data "stm_new_password=randomizer" -XPOST -v -H 'User-Agent: Mozilla/5.0 (Linux; Android 6.0; Nexus 5 Build/MRA58N) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/136.0.0.0 Mobile Safari/537.36'

🛠️ 缺陷在哪里？

• Motors主题通过/login、/register、/loginregister等端点暴露了一个前端密码重置处理器
• 该处理器通过未认证的HTTP POST请求接受user_id、hash_check和stm_new_password
• 主题未能验证请求者的身份或真实性
• 只要攻击者提供有效或可绕过的hash_check，系统就会盲目处理密码更改
• 在更新用户凭证之前，没有进行身份验证、nonce验证或所有权检查

🔐 建议

• 如果未使用，请禁用或限制对/loginregister/或类似前端端点的访问
• 在处理密码重置请求之前实施严格的身份验证（例如，检查已登录用户、安全令牌验证）
• 避免依赖客户端提供的user_id或hash_check而不进行服务器端验证
• 更新到Motors主题的最新版本，或使用虚拟补丁（例如通过WAF）阻止未授权的POST请求
• 定期审计面向公众的端点，查找意外或未记录的行为

⚠️ 免责声明

本报告仅供教育和授权安全测试目的使用。
未经许可利用此漏洞可能违反法律和道德界限。