WP-Links-Page-CVE-Report

Divulgation pour CVE-2025-10175

CVE-2025-10175 - Vulnérabilité dans WP Links Page

Ce dépôt divulgue une vulnérabilité découverte dans WP Links Page <= 4.9.6, un plugin WordPress développé par Rico Macchi.

🛠 Version affectée

• Produit: WP Links Page
• Version: v4.9.6
• URL: https://wordpress.org/plugins/wp-links-page/

🔒 CVE attribuée

🧾 Description détaillée

CVE-2025-10175 — Accès non autorisé à la base de données et exfiltration de données

• Composant affecté: wplf_update_from_previous() ($wpdb->get_results("SELECT * FROM $table WHERE id = $id ..."))
• Vecteur d’attaque: Injection SQL aveugle basée sur le temps via AJAX authentifié (nonce requis) (paramètre id)
• Déclencheur: En envoyant une requête contrefaite avec un nonce valide vers /wp-admin/admin-ajax.php, un délai peut être observé :

POST /wp-admin/admin-ajax.php
Content-Type: application/x-www-form-urlencoded

action=wplf_update_from_previous&nonce=<valid_nonce>&id=1 AND SLEEP(5)

• Impact: Les attaquants peuvent extraire progressivement le contenu de la base de données (comptes utilisateurs, courriels, valeurs de configuration) et obtenir les hachages des mots de passe administrateur, ce qui conduit à une escalade de privilèges. La divulgation des informations de schéma et des comptages d’enregistrements affaiblit la confidentialité et facilite les attaques ciblées ultérieures contre l’ensemble de l’installation WordPress.
• PoC:

1. Un utilisateur authentifié envoie une requête POST à /wp-admin/admin-ajax.php avec un nonce valide.
2. Le paramètre id est injecté avec une charge utile basée sur le temps, par exemple 1 AND SLEEP(5).
3. La réponse du serveur est retardée, confirmant la présence d’une injection SQL aveugle.

❓ Raison de la vulnérabilité

Le paramètre id est directement extrait de $_REQUEST et passé uniquement à travers sanitize_text_field(), ce qui ne prévient pas l’injection SQL. La valeur est ensuite concaténée directement dans la requête SQL sans instructions préparées ni liaison de paramètres appropriée.

Correction proposée :

Utiliser $wpdb->prepare()

ひとこと

Même si le plugin lui-même présente une vulnérabilité d’injection SQL, il arrive souvent que le noyau de WordPress l’échappe. Cependant, cette fois-ci, ni Prepare ni Bind n’ont été utilisés, et les séries esc n’ont pas non plus été employées, ce qui a rendu possible l’injection SQL aveugle. À cette occasion, j’ai étudié la syntaxe SQL aveugle, mais par peur de problèmes légaux, je ne la partagerai pas.

🔍 Découvreur

Nom: MooseLove
Rôle: Chercheur en sécurité indépendant / chasseur de bugs
Contact: Disponible sur demande

📚 Références

• Produit : https://wordpress.org/plugins/wp-links-page/

⚠️ Licence

Cet avis est fourni pour la sensibilisation à la sécurité publique. Libre de partager avec attribution.