WP-Links-Page-CVE-Report

Divulgazione per CVE-2025-10175

CVE-2025-10175 - Vulnerabilità in WP Links Page

Questo repository divulga una vulnerabilità scoperta in WP Links Page <= 4.9.6, un plugin WordPress sviluppato da Rico Macchi.

🛠 Versione interessata

• Prodotto: WP Links Page
• Versione: v4.9.6
• URL: https://wordpress.org/plugins/wp-links-page/

🔒 CVE assegnato

🧾 Descrizione dettagliata

CVE-2025-10175 — Accesso non autorizzato al database ed esfiltrazione di dati

• Componente interessato: wplf_update_from_previous() ($wpdb->get_results("SELECT * FROM $table WHERE id = $id ..."))
• Vettore di attacco: Blind SQL Injection basata su AJAX, autenticata (richiede nonce) (parametro id)
• Attivazione: Inviando una richiesta appositamente costruita con un nonce valido a /wp-admin/admin-ajax.php, è possibile osservare un ritardo temporale:

POST /wp-admin/admin-ajax.php
Content-Type: application/x-www-form-urlencoded

action=wplf_update_from_previous&nonce=<valid_nonce>&id=1 AND SLEEP(5)

• Impatto: Gli attaccanti possono estrarre gradualmente i contenuti del database (account utente, email, valori di configurazione) e ottenere gli hash delle password degli amministratori, portando a un'escalation dei privilegi. La divulgazione delle informazioni sullo schema e del numero di record indebolisce la riservatezza e facilita successivi attacchi mirati contro l'intera installazione WordPress.
• PoC:

1. Un utente autenticato invia una richiesta POST a /wp-admin/admin-ajax.php con un nonce valido.
2. Il parametro id viene iniettato con un payload basato sul tempo come 1 AND SLEEP(5).
3. La risposta del server viene ritardata, confermando la presenza di Blind SQL Injection.

❓Motivo della vulnerabilità

Il parametro id viene prelevato direttamente da $_REQUEST e passato solo attraverso sanitize_text_field(), che non impedisce l'iniezione SQL. Il valore viene poi concatenato direttamente nella query SQL senza prepared statements né un corretto binding dei parametri.

Correzione proposta:

Utilizzare $wpdb->prepare()

Nota

Anche se il plugin stesso presenta una vulnerabilità di SQL injection, ci sono parecchi casi in cui il core di WordPress esegue l'escaping. Tuttavia, in questo caso non sono stati usati né Prepare né Bind, e non è stata usata nemmeno la serie esc, quindi la Blind SQL è stata possibile. Ne ho approfittato per studiare la sintassi della Blind SQL, ma non la condividerò per paura di incorrere in problemi legali.

🔍 Scopritore

Nome: MooseLove
Ruolo: Ricercatore di sicurezza indipendente / bug hunter
Contatto: Disponibile su richiesta

📚 Riferimenti

• Prodotto: https://wordpress.org/plugins/wp-links-page/

⚠️ Licenza

Questo avviso è fornito per la sensibilizzazione pubblica sulla sicurezza. È libero da condividere con attribuzione.