1️⃣ نوع المكوّن

إضافة ووردبريس

2️⃣ تفاصيل المكوّن

اسم المكوّن ELEX WooCommerce Advanced Bulk Edit Products, Prices & Attributes

النسخة المتأثرة <= 1.4.8

Slug المكوّن elex-bulk-edit-products-prices-attributes-for-woocommerce-basic

رابط المكوّن https://wordpress.org/plugins/elex-bulk-edit-products-prices-attributes-for-woocommerce-basic/

3️⃣ OWASP 2017: TOP 10

فئة الثغرة A3: Injection

نوع الثغرة SQL Injection (حقن SQL أعمى)

4️⃣ الشرط المسبق

مدير المتجر OR المسؤول

5️⃣ تفاصيل الثغرة

👉 وصف مختصر

إضافة ELEX WooCommerce Advanced Bulk Edit Products, Prices & Attributes هي إضافة تدعم التحرير الجماعي للمنتجات.

عند التحرير الجماعي للمنتجات في هذه الإضافة، يتم تحديد الأهداف عبر التصفية (Filtering)، وخلال هذه العملية تحدث ثغرة حقن SQL (SQL Injection) عندما يتم إدراج بعض البيانات المرسلة أثناء طلبات تصفية المنتجات مباشرةً في استعلامات SQL.

ومع ذلك، لا يمكن التحقق من نتائج استعلام SQL مباشرةً، وتوجد الثغرة بأسلوب حقن SQL الأعمى (Blind SQL Injection) حيث يتم استخراج البيانات من خلال تحديد ما إذا كانت نتائج الاستعلام صحيحة أم خاطئة.

👉 كيفية إعادة الإنتاج (PoC)

1. انتقل إلى 'Bulk Edit Products' ('/wp-admin/admin.php?page=eh-bulk-edit-product-attr') من قائمة WooCommerce في لوحة التحكم.
2. اختر '==' من وسم الاختيار (select) في حقل السعر العادي للمنتج (Product Regular Price) ضمن عناصر تصفية المنتجات.
3. أدخل '1 OR 1=1' في حقل الإدخال النصي (بدون علامات الاقتباس المفردة (')).
4. انقر على زر 'Preview Filtered Products' في الأسفل، وستظهر جميع المنتجات.
5. من ناحية أخرى، إذا أدخلت '1 OR 1=2' في نفس حقل الإدخال، فلن يتم عرض أي منتجات على الإطلاق.
6. من خلال ذلك، يمكنك التحقق من أن بيانات الاستجابة تختلف اعتمادًا على ما إذا كان شرط استعلام SQL صحيحًا أم خاطئًا.

👉 معلومات إضافية (اختياري)

[السبب الجذري للثغرة]

عند تنفيذ الوظيفة ('Preview Filtered Products') المطلوبة في وصف PoC أعلاه، يتم إنشاء الحزمة (packet) التالية.

عند طلب هذه الحزمة، يتم استدعاء الدالة elex_bep_filter_products في الملف /wp-content/plugins/elex-bulk-edit-products-prices-attributes-for-woocommerce-basic/includes/elex-ajax-apifunctions.php.

يتم تنفيذ قيمة desired_price التي تحتوي على حمولة حقن SQL (payload) من بيانات الطلب كاستعلام SQL عبر التسلسل التالي.

1. يتم تمرير قيمة desired_price التي تحتوي على حمولة حقن SQL مباشرةً إلى جملة شرط الاستعلام وتُعيَّن للمتغير $price_query.

   يتم أيضًا تمرير product_title_text وrange مباشرةً إلى الاستعلام، ولكن بما أننا مررنا حمولة حقن SQL إلى desired_price في PoC، فسنشرح desired_price فقط هنا.

   root@kitploit:~

   // elex-ajax-apifunctions.php at line 1280
   $price_query = " AND meta_key='_regular_price' AND meta_value {$filter_range} {$data_to_filter['desired_price']} ";
   

   

2. بعد ذلك، تتم إضافة المتغير $price_query إلى المتغير $sql (السطر 1365، #1)، ويقوم المتغير $sql مع السلسلة AND والمتغير بتهيئة المتغير (السطر 1379، #2).

لذلك، يتم تضمين معامل الطلب desired_price الذي يحتوي على حمولة حقن SQL في $main_query الخاص بجملة $wpdb->prepare( '%1s', $main_query ). عند هذه النقطة، وبما أن مُحدِّد التنسيق %1s يمرر قيمة $main_query كما هي، يتم إدراج حمولة حقن SQL في الاستعلام دون تهريب (escaping)، مما يؤدي إلى ثغرة حقن SQL.

[تنفيذ كود PoC وتشغيله]

⚠️ تم تنفيذ كود PoC للحصول على اسم قاعدة البيانات عبر استغلال ثغرة حقن SQL الأعمى باستخدام حساب مدير منتجات.

1. افتح كود PoC في محرر وأدخل عنوان موقع ووردبريس وبيانات اعتماد حساب مدير المنتجات.

1. بعد ذلك، أدخل الأمر التالي لتشغيل كود PoC.

   الوحدات المطلوبة requests

   root@kitploit:~

   python poc.py
   

   

6️⃣ عرض الاستغلال

7️⃣ المراجع

• https://nvd.nist.gov/vuln/detail/CVE-2025-22352