CVE-2025-4396 - Kit de Inyección SQL Ciega Basada en Tiempo para WordPress Relevanssi

Resumen

Este repositorio contiene un kit práctico de investigación y validación para CVE-2025-4396, una Inyección SQL Ciega Basada en Tiempo sin autenticación que afecta al plugin Relevanssi de WordPress a través del parámetro cats.

El proyecto fue creado para ejercicios autorizados de Purple Team con el fin de:

• validar la explotabilidad de manera controlada,
• demostrar diferentes niveles de tácticas de atacante,
• medir la cobertura de detección del SOC,
• extraer un hash de contraseña de WordPress de forma realista,
• y automatizar el flujo de descifrado fuera de línea una vez recuperado el hash.

El repositorio incluye:

• un script de extracción estándar,
• un script de extracción más rápido mediante búsqueda binaria,
• y un script auxiliar para preparar y descifrar el hash extraído de WordPress 6.8+ con Hashcat.

Aviso legal
Este proyecto se proporciona únicamente con fines educativos, validación defensiva y pruebas de seguridad autorizadas.
No lo utilice contra sistemas que no posea o para los que no tenga permiso explícito por escrito para evaluar.

Entorno de prueba

• Servidor : Debian 11
• WordPress 6.9.1,
• Plugin Relevanssi 4.24.4 (descargado de https://wordpress.org/plugins/relevanssi/advanced/),
• POC utilizado desde el sistema operativo Kali Linux.

---

Descripción de CVE

CVE-2025-4396 es una vulnerabilidad de Inyección SQL que afecta a la funcionalidad de búsqueda de Relevanssi en WordPress.

En el escenario probado, el problema es accesible a través del flujo de búsqueda y, más específicamente, a través del parámetro cats. La ruta de código vulnerable permite que la entrada controlada por el atacante influya en la consulta SQL generada por el plugin.

Debido a que el punto final vulnerable es accesible sin autenticación previa, la falla puede ser explotada por un atacante remoto para realizar una inyección SQL sin autenticación.

El impacto práctico incluye:

• manipulación de consultas en la base de datos,
• Inyección SQL Ciega Basada en Tiempo,
• extracción de datos sensibles como hashes de contraseñas,
• y, dependiendo del entorno, posible escalada de privilegios mediante la recuperación de credenciales válidas.

---

Cómo Funciona la Vulnerabilidad

Causa Raíz

La vulnerabilidad existe porque la entrada controlada por el usuario proveniente de un parámetro relacionado con la búsqueda no se maneja de forma segura antes de incorporarse a una consulta SQL.

En la práctica, esto significa que un atacante puede inyectar expresiones SQL en la lógica de consulta del backend y forzar a la base de datos a evaluar condiciones adicionales.

Por qué es Ciega

La vulnerabilidad se explota en modo ciego, lo que significa que la aplicación no muestra directamente errores SQL ni resultados sin procesar de la base de datos.

En lugar de leer la salida de la consulta desde la página, el atacante le hace a la base de datos una serie de preguntas de verdadero/falso y observa un efecto secundario:

• si la condición es verdadera, la base de datos se duerme durante unos segundos,
• si la condición es falsa, la respuesta regresa inmediatamente.

Por qué se basa en Tiempo

La explotación se basa en funciones SQL como SLEEP() para crear una diferencia medible en el tiempo de respuesta del servidor.

Esto permite a un atacante inferir datos sin verlos directamente.

Por ejemplo, el atacante puede hacer preguntas como:

• "¿El primer carácter es igual a $?"
• "¿El valor ASCII del segundo carácter es mayor que 77?"
• "¿Los primeros N caracteres coinciden con este patrón?"

Al repetir este proceso, el atacante puede reconstruir un hash completo carácter por carácter.

---

Cómo Funciona la Explotación

Lógica de Extracción Estándar

El enfoque estándar itera a través de un conjunto de caracteres conocido y prueba cada candidato uno por uno.

Para cada posición en el hash objetivo:

1. Construir una condición SQL dirigida a un carácter.
2. Provocar un retardo en el servidor solo si la suposición es correcta.
3. Medir el tiempo de respuesta.
4. Reenviar la misma solicitud para reducir falsos positivos causados por la fluctuación de la red.
5. Agregar el carácter confirmado al hash extraído.
6. Pasar a la siguiente posición.

Este método es simple y confiable, pero relativamente lento porque puede requerir muchas solicitudes por carácter.

Lógica de Extracción por Búsqueda Binaria

El enfoque más rápido utiliza una búsqueda binaria sobre el valor ASCII de cada carácter.

En lugar de preguntar:

• "¿El carácter es igual a a?"
• "¿El carácter es igual a b?"
• "¿El carácter es igual a c?"

pregunta:

• "¿El valor ASCII es mayor que 79?"
• "¿Es mayor que 55?"
• "¿Es mayor que 43?"

Esto divide el espacio de búsqueda a la mitad en cada solicitud y reduce drásticamente el número de peticiones HTTP.

Resultado Práctico

El ataque permite al operador extraer el valor user_pass de wp_users, típicamente para un ID de usuario de WordPress elegido, como:

• 1 para el administrador predeterminado,
• u otro ID pasado por línea de comandos.

En versiones recientes de WordPress, este valor puede usar el nuevo pipeline de contraseñas de WordPress 6.8+, que combina:

• una etapa de pre-hashing usando HMAC-SHA384,
• codificación Base64,
• y un hash final bcrypt.

---

Scripts Incluidos

1. CVE_2025_4396.py

Este es el script de extracción estándar.

Propósito :

Realiza una Inyección SQL Ciega Basada en Tiempo clásica y extrae el hash objetivo carácter por carácter mediante una búsqueda lineal sobre un conjunto de caracteres fijo.

Características Clave :

• simple y fácil de entender,
• confiable en entornos estables,
• lógica de doble verificación para reducir falsos positivos,
• útil como línea base para ingeniería de detección y demostraciones de PoC.

Cómo Funciona :

Para cada posición de carácter:

• itera a través de un conjunto de caracteres predefinido,
• construye una condición SQL que coincide con un solo carácter,
• espera la respuesta del servidor,
• y confirma el acierto con una segunda solicitud.

Requisitos :

• python3
• requests
• urllib3

Instalación :

pip3 install requests urllib3

Uso :

python3 CVE_2025_4396.py -t "https://target.local/?s=test&cats=" -u 1 -s 3 -v

Argumentos :
    -t, --target : URL objetivo vulnerable incluyendo el parámetro inyectable
    -u, --userid : ID de usuario de WordPress al que apuntar
    -s, --sleep : umbral de sueño en segundos
    -v, --verbose : habilita el registro de depuración

2. CVE_2025_4396_Stealth.py

Esta es la edición de búsqueda binaria.

Propósito :

Realiza el mismo objetivo de extracción que el script estándar, pero reemplaza la búsqueda lineal carácter por carácter con una búsqueda binaria sobre valores ASCII.

Características Clave :

• significativamente menos peticiones HTTP,
• huella de red más pequeña,
• todavía incluye un paso de doble verificación para evitar falsos positivos.

Cómo Funciona :

Para cada posición:

• Definir un rango ASCII imprimible.
• Probar el punto medio.
• Preguntar si el carácter objetivo es mayor que ese punto medio.
• Reducir el rango en consecuencia.
• Continuar hasta que se identifique el carácter exacto.

Requisitos :

• python3
• requests
• urllib3

Instalación :

pip3 install requests urllib3

Uso :

python3 CVE_2025_4396_Stealth.py -t "https://target.local/?s=test&cats=" -u 1 -s 3 -v

Cuándo Usarlo :

• el objetivo está confirmado como vulnerable,
• la latencia es lo suficientemente estable,
• y el objetivo es reducir el volumen de solicitudes.

---

Flujo de Descifrado de Hashes Fuera de Línea