CVE-2025-68999

Happy Addons for Elementor <= 3.20.4 — Inyección SQL de segundo orden autenticada (Contributor+)

El fallo

duplicate_meta_entries() en classes/clone-handler.php copia las filas de metadatos de la entrada a una entrada clonada mediante un INSERT masivo hecho a mano. Obtiene las filas de forma segura con $wpdb->prepare(), pero luego inserta $entry->meta_key directamente en la cadena SQL sin escaparla:

$_records[] = "( $duplicated_post_id, '{$entry->meta_key}', '{$_value}' )";
// ...
$wpdb->query( $query );

Dado que meta_key proviene de la base de datos, el código lo trata como confiable. Pero los Contributors pueden establecer nombres de campo arbitrarios mediante el panel de Custom Fields — por lo que controlan lo que hay en esa columna.

El ataque consta de dos pasos:

1. Escribir: almacenar una cadena maliciosa como nombre de campo personalizado. add_post_meta() maneja esto de forma segura: la carga útil llega a la base de datos sin ejecutar nada.
2. Disparar: hacer clic en Happy Clone. duplicate_meta_entries() lee la clave y la concatena en el INSERT sin procesar. MySQL ejecuta la subconsulta inyectada.

El análisis estático no detecta esto porque el origen de los datos peligrosos es una lectura de la base de datos ($wpdb->get_results()), que los motores de taint marcan como saneada. La frontera de almacenamiento rompe la cadena de taint.

Impacto

Cualquier Contributor puede extraer:

• Hashes de contraseñas de todos los usuarios (volcado offline — hashcat mode 400)
• Claves secretas / salts de WordPress (forjar cookies de autenticación persistentes)
• Cualquier fila de wp_options (claves de API, credenciales de pago)
• Contenido privado de entradas

Más de 400K instalaciones activas estaban afectadas en el momento de la divulgación.

Uso

pip install requests
python3 poc.py https://target.com contributor p4ss

El script se autentica por HTTP, almacena la carga útil de inyección como nombre de campo personalizado, dispara la acción Happy Clone y lee el hash filtrado desde los campos meta de la entrada clonada. La salida se guarda en hash.txt.

hashcat -m 400 hash.txt rockyou.txt

Informe completo

https://folks-iwd.github.io/writeups/cve-2025-68999.html

Cronología de divulgación

El parche

weDevs reemplazó todo el INSERT hecho a mano por:

foreach ( $entries as $entry ) {
    update_post_meta( $duplicated_post_id, $entry->meta_key, $entry->meta_value );
}

update_post_meta() internamente llama a $wpdb->update() con sentencias preparadas tanto para la clave como para el valor.