🧾 Descripción detallada

CVE-2025-10175 — Acceso no autorizado a la base de datos y exfiltración de datos

• Componente afectado: wplf_update_from_previous() ($wpdb->get_results("SELECT * FROM $table WHERE id = $id ..."))
• Vector de ataque: Inyección SQL ciega basada en AJAX autenticada (requiere nonce) (parámetro id)
• Activación: Al enviar una solicitud manipulada con un nonce válido a /wp-admin/admin-ajax.php, se puede observar un retraso temporal:

• Impacto: Los atacantes pueden extraer gradualmente el contenido de la base de datos (cuentas de usuario, correos electrónicos, valores de configuración) y obtener hashes de contraseñas de administrador, lo que conduce a una escalada de privilegios. La divulgación de información del esquema y de los recuentos de registros debilita la confidencialidad y facilita ataques dirigidos posteriores contra toda la instalación de WordPress.
• PoC:

1. Un usuario autenticado envía una solicitud POST a /wp-admin/admin-ajax.php con un nonce válido.
2. El parámetro id se inyecta con una carga útil basada en tiempo, como 1 AND SLEEP(5).
3. La respuesta del servidor se retrasa, lo que confirma la presencia de una inyección SQL ciega.

❓Razón de la vulnerabilidad

El parámetro id se toma directamente de $_REQUEST y solo se pasa a través de sanitize_text_field(), que no evita la inyección SQL. El valor se concatena directamente en la consulta SQL sin sentencias preparadas ni un enlace de parámetros adecuado.

Corrección propuesta:

Usar $wpdb->prepare()

Comentario

Aunque el propio plugin tenga una vulnerabilidad de inyección SQL, hay bastantes casos en los que el núcleo de WordPress acaba escapando la entrada; sin embargo, en esta ocasión no se usó ni Prepare ni Bind, ni tampoco la serie esc, por lo que fue posible la inyección SQL ciega. Aprovechando la ocasión, estudié la sintaxis de la inyección SQL ciega, pero como temo tener problemas legales, no la compartiré.

🔍 Descubridor

Nombre: MooseLove
Rol: Investigador de seguridad independiente / cazador de bugs
Contacto: Disponible bajo petición

📚 Referencias

• Producto: https://wordpress.org/plugins/wp-links-page/

⚠️ Licencia

Este aviso se proporciona para la concienciación pública sobre seguridad. Libre para compartir con atribución.