🧾 Detaillierte Beschreibung

CVE-2025-10175 — Unbefugter Datenbankzugriff und Datenexfiltration

• Betroffene Komponente: wplf_update_from_previous() ($wpdb->get_results("SELECT * FROM $table WHERE id = $id ..."))
• Angriffsvektor: Authentifizierte (Nonce erforderlich) AJAX-basierte Blind-SQL-Injection (id-Parameter)
• Auslöser: Durch Senden einer manipulierten Anfrage mit einer gültigen Nonce an /wp-admin/admin-ajax.php kann eine Zeitverzögerung beobachtet werden:

• Auswirkung: Angreifer können nach und nach Datenbankinhalte (Benutzerkonten, E-Mails, Konfigurationswerte) extrahieren und Administrator-Passwort-Hashes erlangen, was zu einer Privilegieneskalation führt. Die Offenlegung von Schema-Informationen und Datensatzzahlen schwächt die Vertraulichkeit und erleichtert anschließende gezielte Angriffe auf die gesamte WordPress-Installation.
• PoC:

1. Ein authentifizierter Benutzer sendet eine POST-Anfrage an /wp-admin/admin-ajax.php mit einer gültigen Nonce.
2. Der id-Parameter wird mit einem zeitbasierten Payload wie 1 AND SLEEP(5) injiziert.
3. Die Serverantwort wird verzögert, was das Vorhandensein einer Blind-SQL-Injection bestätigt.

❓Grund für die Schwachstelle

Der id-Parameter wird direkt aus $_REQUEST übernommen und nur durch sanitize_text_field() geleitet, was SQL-Injection nicht verhindert. Der Wert wird dann direkt in die SQL-Abfrage ohne Prepared Statements oder korrekte Parameterbindung eingefügt.

Vorgeschlagene Lösung:

Verwenden Sie $wpdb->prepare()

ひとこと

プラグイン自体にSQLインジェクション脆弱性があっても、WordPressのコア部分がエスケープしてしまうというケースはかなりあるが、今回はPrepareもBindも使っておらず、escシリーズも使われていなかったため、Blind SQLが可能だった。 これを期にBlind SQL構文の勉強をしたが、法律に引っかかるのが怖いので共有はしません。

🔍 Entdecker

Name: MooseLove
Rolle: Unabhängiger Sicherheitsforscher / Bug Hunter
Kontakt: Auf Anfrage erhältlich

📚 Referenzen

• Produkt: https://wordpress.org/plugins/wp-links-page/

⚠️ Lizenz

Diese Mitteilung wird zur öffentlichen Sicherheitssensibilisierung bereitgestellt. Frei zur Weitergabe mit Namensnennung.