CVE-2025-68999

Happy Addons for Elementor <= 3.20.4 — Iniezione SQL di secondo ordine autenticata (Contributor+)

Il bug

duplicate_meta_entries() in classes/clone-handler.php copia le righe dei meta del post in un post clonato utilizzando una INSERT bulk artigianale. Recupera le righe in modo sicuro con $wpdb->prepare(), ma poi inserisce $entry->meta_key direttamente nella stringa SQL senza escape:

$_records[] = "( $duplicated_post_id, '{$entry->meta_key}', '{$_value}' )";
// ...
$wpdb->query( $query );

Poiché meta_key proviene dal database, il codice lo considera attendibile. Ma i Contributor possono impostare nomi di campo arbitrari tramite il pannello Custom Fields — quindi controllano cosa c'è in quella colonna.

L'attacco si compone di due passaggi:

1. Scrittura: salvare una stringa dannosa come nome di campo personalizzato. add_post_meta() gestisce questa operazione in modo sicuro — il payload finisce nel DB senza eseguire nulla.
2. Trigger: fare clic su Happy Clone. duplicate_meta_entries() rilegge la chiave e la concatena nella INSERT grezza. MySQL esegue la subquery iniettata.

L'analisi statica non rileva il problema perché la fonte dei dati pericolosi è una lettura dal DB ($wpdb->get_results()), che i motori di taint analysis considerano sanitizzata. Il confine di archiviazione interrompe la catena di taint.

Impatto

Qualsiasi Contributor può estrarre:

• Hash delle password di tutti gli utenti (crack offline — hashcat mode 400)
• Chiavi segrete / salt di WordPress (forgiare cookie di autenticazione persistenti)
• Qualsiasi riga da wp_options (chiavi API, credenziali di pagamento)
• Contenuto dei post privati

400.000+ installazioni attive erano interessate al momento della divulgazione.

Utilizzo

pip install requests
python3 poc.py https://target.com contributor p4ss

Lo script si autentica su HTTP, salva il payload di iniezione come nome di campo personalizzato, attiva l'azione Happy Clone e legge l'hash esfiltrato dai campi meta del post clonato. L'output viene salvato in hash.txt.

hashcat -m 400 hash.txt rockyou.txt

Writeup completo

https://folks-iwd.github.io/writeups/cve-2025-68999.html

Cronologia della divulgazione

La patch

weDevs ha sostituito l'intera INSERT artigianale con:

foreach ( $entries as $entry ) {
    update_post_meta( $duplicated_post_id, $entry->meta_key, $entry->meta_value );
}

update_post_meta() internamente chiama $wpdb->update() con prepared statement sia per la chiave che per il valore.