CVE-2026-9848

CVE-2026-9848 è una vulnerabilità di SQL Injection (SQLi) non autenticata che interessa il plugin WP Ticket (Customer Support Ticket System & Helpdesk) per WordPress fino alla versione 6.0.4 inclusa. Il difetto si verifica perché il plugin prende il parametro di ricerca s di WordPress e lo concatena direttamente in una clausola SQL LIKE all'interno di una sottoquery UNION senza usare $wpdb->prepare() o un escaping adeguato. Di conseguenza, un attaccante remoto può manipolare le query del database ed estrarre informazioni sensibili senza autenticazione.

Software interessato

Tipo di vulnerabilità

• Categoria: SQL Injection
• CWE-89: Neutralizzazione impropria di elementi speciali usati in un comando SQL ('SQL Injection')

Causa principale

Il plugin aggancia il filtro posts_request di WordPress tramite wp_ticket_com_posts_request(). Durante una ricerca front-end non autenticata, chiama infine emd_author_search_results(), che legge il parametro di ricerca:

$query->query_vars['s']

In questa fase, WordPress ha già rimosso le magic quotes usando wp_unslash(). Invece di parametrizzare in modo sicuro l'istruzione SQL, il plugin concatena l'input utente grezzo in una clausola SQL LIKE all'interno di una sottoquery UNION.

Concettualmente:

User searches website
        │
        ▼
Search parameter "s" received
        │
        ▼
Plugin concatenates value into SQL query
        │
        ▼
No $wpdb->prepare()
        │
        ▼
Database executes modified query

La vulnerabilità esiste perché l'input non attendibile viene incorporato in SQL tramite concatenazione di stringhe invece che tramite query parametrizzate.

Il nucleo della vulnerabilità è il modo in cui il plugin costruisce la sua query SQL principale:

sql
SELECT * FROM wp_posts 
WHERE post_title LIKE '%[attacker's input]%' 
UNION [attacker's injected SQL]

Analisi della SQL vulnerabile

• Il punto di partenza: Il plugin inizia con una query WordPress standard per cercare i post, come SELECT * FROM wp_posts WHERE post_title LIKE '%...%'.
• La concatenazione non sicura: Il plugin prende il valore del parametro di ricerca (s) e lo incolla direttamente nella query SQL. Lo fa senza usare la sicura funzione `$wpdb->prepare()` di WordPress o qualsiasi altra forma di escaping.
• La sotto-selezione UNION: Il plugin aggiunge una sotto-selezione UNION alla query principale. Una UNION in SQL consente a un attaccante di combinare i risultati della query principale con i risultati della propria query dannosa.
• La query finale: La query finale inviata al database diventa una combinazione della ricerca prevista e del codice SQL iniettato dall'attaccante.

Flusso dell'attacco

Attacker
    │
    ▼
Submits a crafted search request
    │
    ▼
WordPress passes the "s" parameter
    │
    ▼
WP Ticket builds SQL query using concatenation
    │
    ▼
Database executes injected SQL
    │
    ▼
Sensitive database information may be disclosed

Scenario di attacco

Un visitatore normale effettua una ricerca sul sito web:

GET /?s=printer

Il plugin incorpora il valore del parametro s in una query SQL che cerca informazioni relative ai ticket.

Poiché il plugin concatena il valore di ricerca direttamente nell'istruzione SQL invece di usare query parametrizzate, una richiesta di ricerca appositamente predisposta può alterare la logica SQL prevista. Un attaccante non autenticato può sfruttare questo comportamento per recuperare informazioni sensibili dal database di WordPress, come nomi utente o altri dati memorizzati. Il risultato esatto dipende dalla configurazione dell'applicazione e dai permessi del database. Ora, un attaccante può manipolare il parametro s per iniettare la propria SQL. Ad esempio, potrebbe inserire:

' UNION SELECT user_login, user_pass FROM wp_users -- -

Questo farebbe apparire la query finale in questo modo:

SELECT * FROM wp_posts WHERE post_title LIKE '%' UNION SELECT user_login, user_pass FROM wp_users -- -%'

Impatto

Uno sfruttamento riuscito può consentire a un attaccante di:

• Estrarre informazioni sensibili dal database.
• Enumerare gli utenti di WordPress.
• Leggere i dati di configurazione dell'applicazione.
• Accedere alle informazioni delle tabelle del database specifiche del plugin.
• Raccogliere informazioni utili per ulteriori attacchi.

Gravità

NVD non ha ancora pubblicato la propria valutazione CVSS.

Codice vulnerabile concettuale

Nota: il fornitore non ha pubblicato l'implementazione vulnerabile completa. Quanto segue illustra il pattern di codice vulnerabile.

$search = $query->query_vars['s'];

$sql = "
SELECT *
FROM tickets
WHERE title LIKE '%" . $search . "%'
";

$wpdb->get_results($sql);

Perché è vulnerabile

L'istruzione SQL viene costruita concatenando l'input controllato dall'utente direttamente nella stringa di query. Poiché l'input non è parametrizzato né sottoposto a escaping, può alterare la struttura dell'istruzione SQL.

Codice corretto (concettuale)

$search = $query->query_vars['s'];

$sql = $wpdb->prepare(
    "SELECT *
     FROM tickets
     WHERE title LIKE %s",
    '%' . $search . '%'
);

$wpdb->get_results($sql);

Perché questa correzione funziona

L'uso di $wpdb->prepare() separa la sintassi SQL dall'input utente. Il database tratta il valore di ricerca come dati piuttosto che come SQL eseguibile, impedendo agli attaccanti di modificare la struttura della query. La correzione ufficiale in WP Ticket 6.0.5 sostituisce la costruzione vulnerabile della query con un'implementazione adeguatamente parametrizzata.