pipo-cyber/cve-2025-68999-pocExploit PoC pour CVE-2025-68999 - Injection SQL de second ordre dans Happy Addons pour Elementor <= 3.20.4
| CVSS | 8.5 ÉLEVÉ |
| Affected | <= 3.20.4 |
| Patched | 3.20.6 |
| Rôle min. | Contributeur (edit_posts) |
| Vecteur | Réseau / Complexité faible / Privilèges faibles |
duplicate_meta_entries() dans classes/clone-handler.php copie les lignes de métadonnées de publication vers une publication clonée à l'aide d'un INSERT groupé fait main. Elle récupère les lignes en toute sécurité avec $wpdb->prepare(), mais insère ensuite $entry->meta_key directement dans la chaîne SQL sans échappement :
$_records[] = "( $duplicated_post_id, '{$entry->meta_key}', '{$_value}' )";
// ...
$wpdb->query( $query );
Parce que meta_key provient de la base de données, le code le considère comme fiable. Mais les contributeurs peuvent définir des noms de champs arbitraires via le panneau Champs personnalisés — ils contrôlent donc ce qui se trouve dans cette colonne.
L'attaque se déroule en deux étapes :
add_post_meta() gère cela en toute sécurité — la charge utile atterrit dans la base de données sans exécuter quoi que ce soit.duplicate_meta_entries() relit la clé et la concatène dans l'INSERT brut. MySQL exécute la sous-requête injectée.L'analyse statique ne détecte pas ce problème car la source des données dangereuses est une lecture en base ($wpdb->get_results()), que les moteurs de taint marquent comme assainie. La frontière de stockage rompt la chaîne de taint.
Tout contributeur peut extraire :
wp_options (clés API, informations de paiement)Plus de 400 000 installations actives étaient concernées au moment de la divulgation.
pip install requests
python3 poc.py https://target.com contributor p4ss
Le script s'authentifie via HTTP, stocke la charge utile d'injection comme nom de champ personnalisé, déclenche l'action Happy Clone, puis lit l'empreinte divulguée dans les champs méta de la publication clonée. La sortie est enregistrée dans hash.txt.
hashcat -m 400 hash.txt rockyou.txt
| Date | Événement |
|---|---|
| décembre 2025 | Découvert via un diff SVN. PoC confirmé. |
| décembre 2025 | Signalé à Patchstack Alliance avec le write-up complet et le PoC. |
| janvier 2026 | weDevs a publié le correctif dans la v3.20.6. |
| 23 janvier 2026 | CVE-2025-68999 publiée. CVSS 8.5 ÉLEVÉ attribué. |
weDevs a remplacé tout l'INSERT fait main par :
foreach ( $entries as $entry ) {
update_post_meta( $duplicated_post_id, $entry->meta_key, $entry->meta_value );
}
update_post_meta() appelle en interne $wpdb->update() avec des requêtes préparées pour la clé et la valeur.