1️⃣ Type de composant

Plugin WordPress

2️⃣ Détails du composant

Component name ELEX WooCommerce Advanced Bulk Edit Products, Prices & Attributes

Vulnerable version <= 1.4.8

Component slug elex-bulk-edit-products-prices-attributes-for-woocommerce-basic

Component link https://wordpress.org/plugins/elex-bulk-edit-products-prices-attributes-for-woocommerce-basic/

3️⃣ OWASP 2017: TOP 10

Vulnerability class A3: Injection

Vulnerability type SQL Injection (Blind SQL Injection)

4️⃣ Prérequis

Gestionnaire de boutique ou administrateur

5️⃣ Détails de la vulnérabilité

👉 Description courte

Le plugin ELEX WooCommerce Advanced Bulk Edit Products, Prices & Attributes est un plugin qui prend en charge la modification en masse des produits.

Lors de la modification en masse des produits dans ce plugin, les cibles sont sélectionnées par filtrage, et au cours de ce processus, une vulnérabilité d'injection SQL survient lorsque certaines données transmises lors des requêtes de filtrage des produits sont directement insérées dans les requêtes SQL.

Cependant, les résultats des requêtes SQL ne peuvent pas être vérifiés directement, et la vulnérabilité se manifeste sous la forme d'une injection SQL aveugle (Blind SQL Injection) où les données sont extraites en déterminant si les résultats des requêtes sont vrais ou faux.

👉 Comment reproduire (PoC)

Allez dans 'Bulk Edit Products' ('/wp-admin/admin.php?page=eh-bulk-edit-product-attr') depuis le menu WooCommerce du tableau de bord.
Sélectionnez '==' dans la balise select de 'Product Regular Price' parmi les éléments de filtrage des produits.
Saisissez '1 OR 1=1' dans le champ de saisie texte (sans les guillemets simples (')).
Cliquez sur le bouton 'Preview Filtered Products' en bas, et tous les produits s'affichent.
En revanche, si vous saisissez '1 OR 1=2' dans le même champ, aucun produit ne s'affiche.
Vous pouvez ainsi vérifier que les données de réponse diffèrent selon que la condition de la requête SQL est vraie ou fausse.

👉 Informations complémentaires (facultatif)

[Cause racine de la vulnérabilité]

Lors de l'exécution de la fonction ('Preview Filtered Products') demandée dans la description du PoC ci-dessus, le paquet suivant est généré.

Lorsque ce paquet est demandé, la fonction elex_bep_filter_products du fichier /wp-content/plugins/elex-bulk-edit-products-prices-attributes-for-woocommerce-basic/includes/elex-ajax-apifunctions.php est appelée.

La valeur desired_price contenant la charge utile d'injection SQL provenant des données de la requête est exécutée comme requête SQL selon la séquence suivante.

La valeur desired_price contenant la charge utile d'injection SQL est directement transmise à la clause de condition de la requête et assignée à la variable $price_query.

product_title_text, range sont également transmis directement à la requête, mais comme nous avons passé la charge utile d'injection SQL à desired_price dans le PoC, nous n'expliquerons ici que desired_price.
```
// elex-ajax-apifunctions.php at line 1280
$price_query = " AND meta_key='_regular_price' AND meta_value {$filter_range} {$data_to_filter['desired_price']} ";
```
Ensuite, la variable $price_query est ajoutée à la variable $sql (ligne 1365, #1), et la variable $sql avec la chaîne et la variable initialisent la variable (ligne 1379, #2).

Par conséquent, le paramètre de requête desired_price contenant la charge utile d'injection SQL est inclus dans $main_query de l'instruction $wpdb->prepare( '%1s', $main_query ). À ce stade, comme le spécificateur de format %1s transmet la valeur $main_query telle quelle, la charge utile d'injection SQL est insérée dans la requête sans échappement, ce qui entraîne une vulnérabilité d'injection SQL.

[Implémentation et exécution du code PoC]

⚠️ Le code PoC est implémenté pour obtenir le nom de la base de données en exploitant la vulnérabilité d'injection SQL aveugle à l'aide d'un compte de gestionnaire de produits.