CVE-2025-30921

1️⃣ Type de composant

Plugin WordPress

2️⃣ Détails du composant

Component name Newsletters

Vulnerable version <= 4.9.9.7

Component slug newsletters-lite

Component link https://wordpress.org/plugins/newsletters-lite/

3️⃣ OWASP 2017 : TOP 10

Vulnerability class A3 : Injection

Vulnerability type Injection SQL

4️⃣ Prérequis

Administrateur

5️⃣ Détails de la vulnérabilité

👉 Brève description

Lors de la visualisation du graphique d'aperçu des statistiques dans le tableau de bord du plugin (/wp-admin/admin.php?page=newsletters) de la version 4.9.9.7 ou inférieure du plugin Newsletters, une vulnérabilité d'injection SQL se produit en raison d'une validation insuffisante des entrées et d'un traitement d'échappement des paramètres d'URL.

Grâce à cette vulnérabilité, un attaquant disposant de privilèges d'administrateur peut l'exploiter pour extraire des informations de la base de données du site cible.

👉 Comment reproduire (PoC)

1. Préparez un site WordPress avec la version 4.9.9.7 ou inférieure du plugin Newsletters installé.

2. Accédez au menu du tableau de bord du plugin Newsletters (/wp-admin/admin.php?page=newsletters).

   

3. À l'aide des outils de développement du navigateur, recherchez action=wpmlwelcomestats&security= dans l'onglet « Elements » et vérifiez la valeur de security. Par exemple, si le résultat de la recherche apparaît comme ci-dessous, notez 22b1ac0de6.

   root@kitploit:~

   // ...
   
   jQuery.getJSON(newsletters_ajaxurl + 'action=wpmlwelcomestats&security=22b1ac0de6', ajaxdata, function(json) {
   
   // ...
   

   

4. Saisissez la valeur de security notée dans la section <SECURITY VALUE> du chemin URL ci-dessous et envoyez une requête à cette URL

   root@kitploit:~

   http://localhost:8080/wp-admin/admin-ajax.php?action=wpmlwelcomestats&security=<SECURITY VALUE>&type=years&chart=bar&from=2024-12-31&to=2024-12-31&history_id=FOO%27+UNION+SELECT+(CONCAT((DATABASE()),%22-%22,(@@VERSION))),NULL+LIMIT+1,2+%23
   

👉 Informations complémentaires (optionnel)

[Cause racine de la vulnérabilité]

Lors de la demande de l'URL où se produit la vulnérabilité d'injection SQL dans le PoC ci-dessus, la fonction ajax_welcomestats dans le fichier /wp-content/plugins/newsletters-lite/wp-mailinglist-plugin.php est appelée.

À ce stade, le paramètre de requête history_id est directement référencé comme clause de condition dans la chaîne de requête SQL et initialisé comme variable $history_condition. Cette variable est ensuite transmise à la requête de base de données sans aucun traitement d'échappement.

Par conséquent, comme il n'y a pas de validation ou de traitement d'échappement pour les valeurs saisies dans le paramètre URL history_id, une vulnérabilité d'injection SQL se produit. (Notez que les paramètres URL from et to sont également vulnérables aux attaques par injection SQL en raison d'une validation et d'un traitement d'échappement insuffisants.)

6️⃣ Démonstration de l'exploitation

7️⃣ Références

• https://nvd.nist.gov/vuln/detail/CVE-2025-30921