CVE-2025-4396 - Toolkit per la SQL Injection Blind Basata sul Tempo in WordPress Relevanssi

Panoramica

Questa repository contiene un toolkit pratico di ricerca e validazione per CVE-2025-4396, una SQL Injection Blind basata sul tempo non autenticata che colpisce il plugin WordPress Relevanssi tramite il parametro cats.

Il progetto è stato realizzato per esercitazioni Purple Team autorizzate al fine di:

• validare la sfruttabilità in modo controllato,
• dimostrare diversi livelli di tradecraft dell'attaccante,
• misurare la copertura di rilevamento del SOC,
• estrarre un hash della password WordPress in modo realistico,
• e automatizzare il flusso di lavoro di cracking offline una volta recuperato l'hash.

La repository include:

• uno script di estrazione standard,
• uno script di estrazione più veloce basato su ricerca binaria,
• e uno script di supporto per preparare e craccare con Hashcat l'hash WordPress 6.8+ estratto.

Disclaimer
Questo progetto è fornito esclusivamente a scopo didattico, di validazione difensiva e di test di sicurezza autorizzati.
Non utilizzarlo contro sistemi che non possiedi o per i quali non hai esplicita autorizzazione scritta a valutare.

Ambiente di Test

• Server : Debian 11
• WordPress 6.9.1,
• plugin Relevanssi 4.24.4 (scaricato da https://wordpress.org/plugins/relevanssi/advanced/),
• POC utilizzato dal sistema operativo Kali Linux.

---

Descrizione della CVE

CVE-2025-4396 è una vulnerabilità di SQL Injection che colpisce la funzionalità di ricerca Relevanssi in WordPress.

Nello scenario testato, il problema è raggiungibile tramite il flusso di ricerca e più specificamente attraverso il parametro cats. Il percorso di codice vulnerabile consente a input controllati dall'attaccante di influenzare la query SQL generata dal plugin.

Poiché l'endpoint vulnerabile è accessibile senza autenticazione preventiva, la falla può essere sfruttata da un attaccante remoto per eseguire una SQL injection non autenticata.

L'impatto pratico include:

• manipolazione delle query del database,
• SQL Injection Blind basata sul tempo,
• estrazione di dati sensibili come gli hash delle password,
• e, a seconda dell'ambiente, possibile escalation dei privilegi tramite il recupero di credenziali valide.

---

Come Funziona la Vulnerabilità

Causa principale

La vulnerabilità esiste perché l'input controllato dall'utente proveniente da un parametro correlato alla ricerca non viene gestito in modo sicuro prima di essere incorporato in una query SQL.

In pratica, ciò significa che un attaccante può iniettare espressioni SQL nella logica delle query del backend e costringere il database a valutare condizioni aggiuntive.

Perché è Blind

La vulnerabilità viene sfruttata in modalità blind (cieca), il che significa che l'applicazione non mostra direttamente errori SQL o risultati grezzi del database.

Invece di leggere l'output della query dalla pagina, l'attaccante pone al database una serie di domande vero/falso e osserva un effetto collaterale:

• se la condizione è vera, il database resta in pausa per alcuni secondi,
• se la condizione è falsa, la risposta viene restituita immediatamente.

Perché è basata sul tempo

Lo sfruttamento si basa su funzioni SQL come SLEEP() per creare una differenza misurabile nel tempo di risposta del server.

Ciò consente a un attaccante di dedurre i dati senza mai vederli direttamente.

Ad esempio, l'attaccante può porre domande come:

• "Il primo carattere è uguale a $?"
• "Il valore ASCII del secondo carattere è maggiore di 77?"
• "I primi N caratteri corrispondono a questo modello?"

Ripetendo questo processo, l'attaccante può ricostruire un intero hash carattere per carattere.

---

Come Funziona lo Sfruttamento

Logica di estrazione standard

L'approccio standard scorre un set di caratteri noto e testa ogni candidato uno per uno.

Per ogni posizione nell'hash target:

1. Costruire una condizione SQL che punta a un carattere.
2. Attivare un ritardo del server solo se l'ipotesi è corretta.
3. Misurare il tempo di risposta.
4. Inviare nuovamente la stessa richiesta per ridurre i falsi positivi causati dal jitter di rete.
5. Aggiungere il carattere confermato all'hash estratto.
6. Passare alla posizione successiva.

Questo metodo è semplice e affidabile, ma relativamente lento perché può richiedere molte richieste per carattere.

Logica di estrazione con ricerca binaria

L'approccio più veloce usa la ricerca binaria sul valore ASCII di ogni carattere.

Invece di chiedere:

• "Il carattere è uguale a a?"
• "Il carattere è uguale a b?"
• "Il carattere è uguale a c?"

chiede:

• "Il valore ASCII è maggiore di 79?"
• "È maggiore di 55?"
• "È maggiore di 43?"

Questo divide lo spazio di ricerca a metà a ogni richiesta e riduce drasticamente il numero di richieste HTTP.

Risultato pratico

L'attacco consente all'operatore di estrarre il valore user_pass da wp_users, tipicamente per un ID utente WordPress scelto come:

• 1 per l'amministratore predefinito,
• o un altro ID passato da riga di comando.

Nelle versioni recenti di WordPress, questo valore può utilizzare il nuovo pipeline di password WordPress 6.8+, che combina:

• una fase di pre-hashing che usa HMAC-SHA384,
• codifica Base64,
• e un hash finale bcrypt.

---

Script Inclusi

1. CVE_2025_4396.py

Questo è lo script di estrazione standard.

Scopo :

Esegue una classica SQL Injection Blind basata sul tempo ed estrae l'hash target carattere per carattere usando una ricerca lineare su un charset fisso.

Caratteristiche principali :

• semplice e facile da capire,
• affidabile in ambienti stabili,
• logica di doppia verifica per ridurre i falsi positivi,
• utile come base di partenza per l'ingegneria dei rilevamenti e per dimostrazioni di PoC.

Come funziona :

Per ogni posizione del carattere:

• scorre un set di caratteri predefinito,
• costruisce una condizione SQL corrispondente a un singolo carattere,
• attende la risposta del server,
• e conferma il successo con una seconda richiesta.

Requisiti :

• python3
• requests
• urllib3

Installazione :

pip3 install requests urllib3

Utilizzo :

python3 CVE_2025_4396.py -t "https://target.local/?s=test&cats=" -u 1 -s 3 -v

Arguments :
    -t, --target : vulnerable target URL including the injectable parameter
    -u, --userid : WordPress user ID to target
    -s, --sleep : sleep threshold in seconds
    -v, --verbose : enable debug logging

2. CVE_2025_4396_Stealth.py

Questa è l'edizione con ricerca binaria.

Scopo :

Esegue lo stesso obiettivo di estrazione dello script standard, ma sostituisce la ricerca lineare carattere per carattere con una ricerca binaria sui valori ASCII.

Caratteristiche principali :

• numero significativamente inferiore di richieste HTTP,
• impronta di rete ridotta,
• include comunque una fase di doppio controllo per prevenire falsi positivi.

Come funziona :

Per ogni posizione:

• Definire un intervallo ASCII stampabile.
• Testare il punto medio.
• Chiedere se il carattere target è maggiore di quel punto medio.
• Ridurre l'intervallo di conseguenza.
• Continuare finché non viene identificato il carattere esatto.

Requisiti :

• python3
• requests
• urllib3

Installazione :

pip3 install requests urllib3

Utilizzo :

python3 CVE_2025_4396_Stealth.py -t "https://target.local/?s=test&cats=" -u 1 -s 3 -v

Quando usarlo :

• il target è confermato vulnerabile,
• la latenza è sufficientemente stabile,
• e l'obiettivo è ridurre il volume delle richieste.

---

Flusso di lavoro per il cracking offline dell'hash

Una volta estratto l'hash della password da WordPress, il passo successivo è craccarlo offline.