CVE-2025-68999

Happy Addons for Elementor <= 3.20.4 — Authentifizierte (Contributor+) Second-Order SQL-Injection

Der Fehler

duplicate_meta_entries() in classes/clone-handler.php kopiert Post-Meta-Zeilen in einen geklonten Post mittels einer selbstgebauten Bulk-INSERT. Es ruft die Zeilen sicher mit $wpdb->prepare() ab, aber setzt dann $entry->meta_key direkt in den SQL-String ein, ohne zu escapen:

$_records[] = "( $duplicated_post_id, '{$entry->meta_key}', '{$_value}' )";
// ...
$wpdb->query( $query );

Weil meta_key aus der Datenbank kommt, behandelt der Code es als vertrauenswürdig. Aber Beitragende (Contributors) können beliebige Feldnamen über das Custom-Fields-Panel setzen – also kontrollieren sie, was in dieser Spalte steht.

Der Angriff besteht aus zwei Schritten:

1. Schreiben: Speichern einer schädlichen Zeichenkette als benutzerdefinierten Feldnamen. add_post_meta() behandelt dies sicher – die Nutzlast landet in der DB, ohne etwas auszuführen.
2. Auslösen: Klicken auf Happy Clone. duplicate_meta_entries() liest den Schlüssel zurück und konkateniert ihn in das rohe INSERT. MySQL führt die eingeschleuste Unterabfrage aus.

Statische Analyse übersieht dies, weil die Quelle der gefährlichen Daten ein DB-Read ($wpdb->get_results()) ist, den Taint-Engines als bereinigt markieren. Die Speichergrenze unterbricht die Taint-Kette.

Auswirkungen

Jeder Contributor kann extrahieren:

• Passwort-Hashes aller Benutzer (offline knacken – hashcat Modus 400)
• WordPress-Geheimschlüssel / Salts (fälschen persistenter Authentifizierungs-Cookies)
• Beliebige Zeilen aus wp_options (API-Schlüssel, Zahlungsdaten)
• Private Beitragsinhalte

Zum Zeitpunkt der Offenlegung waren über 400.000 aktive Installationen betroffen.

Verwendung

pip install requests
python3 poc.py https://target.com contributor p4ss

Das Skript authentifiziert sich über HTTP, speichert die Injection-Nutzlast als benutzerdefinierten Feldnamen, löst die Happy Clone-Aktion aus und liest den geleakten Hash aus den Meta-Feldern des geklonten Posts. Die Ausgabe wird in hash.txt gespeichert.

hashcat -m 400 hash.txt rockyou.txt

Vollständige Ausarbeitung

https://folks-iwd.github.io/writeups/cve-2025-68999.html

Zeitleiste der Offenlegung

Der Patch

weDevs ersetzte die gesamte selbstgebaute INSERT durch:

foreach ( $entries as $entry ) {
    update_post_meta( $duplicated_post_id, $entry->meta_key, $entry->meta_value );
}

update_post_meta() ruft intern $wpdb->update() mit vorbereiteten Anweisungen für sowohl Schlüssel als auch Wert auf.