😈 CVE-2025-4322: Как одна строка кода открыла двери тысяч сайтов хакерам

Представьте: ваш сайт внезапно перестаёт подчиняться вам. Вы не можете войти в админку, а вместо этого видите нового администратора с подозрительным именем. Через несколько часов сайт превращается в рассадник вредоносного кода или часть ботнета. Всё это — последствия критической уязвимости в популярной теме Motors, получившей идентификатор CVE-2025-4322.

▪️2 мая 2025 года команда безопасности Wordfence обнаружила опасную брешь в теме Motors, предназначенной для автомобильных сайтов.
Уязвимость позволяла злоумышленникам получать полный контроль над сайтом, просто сбросив пароль администратора
▪️Уже 19 мая информация стала публичной
▪️20 мая начались массовые атаки
▪️К 7 июня было зафиксировано более 23100 попыток взлома

Проблема кроется в виджете «Login Register», отвечающем за авторизацию и восстановление пароля. Хакеры нашли способ обойти проверку хэша, подменяя параметры запроса.

➡️Как работала атака?
- Поиск уязвимого пути (злоумышленники искали страницы вроде /login-register, /reset-password, /account)
- Подмена данных (отправлялся POST-запрос с искажённым параметром hash_check (содержащим некорректные UTF-8 символы)). Пример запроса:

POST /reset-password HTTP/1.1
     Host: example.com
     Content-Type: application/x-www-form-urlencoded

     user_id=1&new_pass=Hacked123!&hash_check=%EF%BF%BD%EF%BF%BD%EF%BF%BD      

- Обход защиты (система ошибочно считала запрос валидным и позволяла сбросить пароль)
- Захват админки (указывался ID=1 (первый пользователь, обычно администратор) и новый пароль (например, Testtest123!@# или `rzkkd$SP3znjrn`))

Результат: злоумышленник получал доступ к админ-панели, создавал новые учётные записи и мог делать с сайтом что угодно.

✨Как обнаружить взлом?
- Появились новые пользователи с правами администратора
- В логах есть подозрительные IP-адреса или попытки сброса пароля
- В базе данных встречаются пароли, которые выглядят примерно так: Kurd@Kurd12123 или owm9cpXHAZTk

⤵️ Похожие уязвимости
▪️CVE-2021-29447 (позволяла загружать вредоносные XML-файлы и читать системные файлы)
▪️CVE-2020-25286 (давала доступ к базе данных через подмену параметров)
▪️CVE-2018-6389 (использовалась для перегрузки сервера)