Tema RealHome dan plugin Easy Real Estate untuk WordPress rentan terhadap dua kelemahan kritis yang memungkinkan pengguna yang tidak diautentikasi mendapatkan hak administratif.
Meskipun kedua kelemahan tersebut ditemukan pada September 2024 oleh tumpukan tambalandan beberapa upaya dilakukan untuk menghubungi vendor (InspiryThemes), para peneliti mengatakan mereka belum menerima tanggapan.
Selain itu, Patchstack mengatakan vendor telah merilis tiga versi sejak September, tetapi tidak ada perbaikan keamanan yang dilakukan untuk mengatasi masalah kritis tersebut. Oleh karena itu, permasalahannya masih belum terselesaikan dan dapat dieksploitasi.
Detail kerentanan
Tema RealHome dan Easy Real Estate adalah salah satu tema dan plugin paling populer yang dirancang untuk digunakan di situs web real estat. Menurut data Envanto Market, tema RealHome digunakan di 32.600 situs web.
Cacat pertama, yang berdampak pada tema RealHome, adalah masalah eskalasi hak istimewa yang tidak diautentikasi yang dilacak sebagai CVE-2024-32444 (skor CVSS: 9.8).
Tema ini memungkinkan pengguna untuk mendaftarkan akun baru melalui fungsi inspiry_ajax_register, namun tema ini tidak memeriksa otorisasi dengan benar atau menerapkan validasi nonce.
Jika pendaftaran diaktifkan di situs web, penyerang dapat secara sewenang-wenang menentukan peran mereka sebagai “Administrator” dalam permintaan HTTP yang dibuat khusus untuk fungsi pendaftaran, yang pada dasarnya melewati pemeriksaan keamanan.
Setelah terdaftar sebagai administrator, penyerang selanjutnya dapat memperoleh kendali penuh atas situs WordPress, termasuk melakukan manipulasi konten, menanam skrip, dan mengakses pengguna atau data sensitif lainnya.
Cacat yang berdampak pada plugin Easy Real Estate adalah masalah peningkatan hak istimewa lainnya yang tidak diautentikasi melalui login sosial. Itu dilacak di bawah CVE-2024-32555 (skor CVSS: 9.8).
Masalahnya berasal dari fitur login sosial, yang memungkinkan pengguna untuk login menggunakan alamat email mereka tanpa memverifikasi apakah itu milik orang yang membuat permintaan.
Akibatnya, jika penyerang mengetahui alamat email admin, mereka dapat login tanpa memerlukan kata sandi. Dampak dari keberhasilan eksploitasi serupa dengan dampak CVE-2024-32444.
Rekomendasi mitigasi
Karena belum ada patch yang dirilis oleh InspiryThemes, pemilik situs web dan administrator yang menggunakan tema atau plugin tersebut harus segera menonaktifkannya.
Membatasi pendaftaran pengguna di situs web yang terkena dampak juga akan mencegah pembuatan akun tanpa izin, sehingga membatasi potensi eksploitasi.
Karena masalah pada kedua add-on tersebut kini sudah diketahui publik, pelaku ancaman harus mengeksplorasi potensi mereka dan memindai situs web yang rentan, sehingga merespons dengan cepat untuk memitigasi ancaman sangatlah penting pada saat ini.
