La vulnérabilité provient de WordPress qui utilise des données non vérifiées lors de la réinitialisation d’un mot de passe.

En modifiant la valeur de HOST dans le header on peut donc potentiellement prendre le contrôle d’un site.

La partie du code faillible est la suivante :

------ [wp-includes / pluggable.php] ------
...

if ( !isset( $from_email ) ) {
        // Get the site domain and get rid of www.
        $sitename = strtolower( $_SERVER['SERVER_NAME'] );
        if ( substr( $sitename, 0, 4 ) == 'www.' ) {
                $sitename = substr( $sitename, 4 );
        }

        $from_email = 'wordpress@' . $sitename;
}

...