説明

Modern Events Calendar Lite は、イベントリストスキン（list、grid、masonry、agenda、timeline、tile、custom）に対して、認証不要の一連の admin-ajax.php 「もっと読み込む」アクションを登録します。各ハンドラは、攻撃者が制御する atts リクエスト配列を読み取り、sanitize_deep_array() というヘルパーに渡します。このヘルパーは、デフォルトの引数で呼び出された場合、まったくサニタイズを行いません。その後、atts['include']（および atts['exclude']）の値を生のまま、post_id IN (...) というSQL断片に連結し、$wpdb->get_results() で**$wpdb->prepare() なしで**実行します。

エントリポイントが wp_ajax_nopriv_* に登録されているため、認証、アカウント、ノンス、ユーザー操作は一切不要です。 認証されていないリモート攻撃者は、wp_mec_dates に対する SELECT の WHERE 句に任意のSQLを注入し、WordPressデータベース内の任意のデータ（ユーザーパスワードハッシュ、wp_options の秘密鍵/キー、他のプラグインのデータ）を、ブラインドの時間ベース/ブール/エラーベースの手法で読み取ることができます。

根本原因

1. デフォルトパスでは何もサニタイズしない「サニタイザー」

app/libraries/main.php:9607:

ガード (is_array($excludes) and !count($excludes)) により、$excludes がデフォルトの空の配列の場合、この関数は完全なノーオペレーションになります — すべての値がそのままコピーされます。意図は明らかに「除外リストがある場合は、それらのキーをスキップする」でしたが、論理演算の結果、除外リストが指定されていない場合はすべてがスキップされます。

2. 呼び出し側が $excludes を指定していない

app/skins/list.php:499-501 (load_more()):

sanitize_deep_array($_REQUEST['atts']) は引数1つで呼び出される → $excludes は array() にデフォルト → 上記のノーオペレーションブランチ → $atts は生の、信頼できない $_REQUEST['atts'] になります。

3. IN (...) 句への生の連結

app/libraries/skins.php:

配列要素は整数キャストもエスケープもなしで直接SQL文字列に implode() されます。（各要素に absint()/(int) を適用すれば防げたはずです。）

4. プリペアドステートメントなしでの実行

app/libraries/db.php:79:

完全に構築された文字列は、そのまま $wpdb->get_results() に渡されます。

汚染フロー（リクエスト → シンク）:

到達可能性

app/skins/list.php:51-52:

nopriv 登録により、エンドポイントは認証前に到達可能になります。同じ load_more() の構造と共有の skins.php クエリビルダーは、兄弟スキンにも存在し、それぞれ独自の wp_ajax_nopriv_* アクションを持っています。そのため、同じインジェクションは以下のいずれからも到達可能です。

load_more() ではノンスはチェックされておらず、アクションはページ上にプラグインのショートコードが存在する必要はありません。AJAX ハンドラは init 時に無条件に登録されます。

概念実証（実験室確認済み、MEC Lite 6.5.6、WordPress 6.6.5、MariaDB 10.x）

すべてのリクエストは認証不要（クッキー、ノンスなし）です。注入された値は atts[include][] に配置されます。ペイロードは IN ((...) AND (... IN ( グループの2つの開き括弧を閉じ、トップレベルの OR <sleep> を追加して、条件がスキャンされたすべての行で評価されるようにし、末尾の )) ORDER BY ... をコメントアウトします。

エラーカナリア atts[include][]=0)MEC_SQLI_CANARY に対して実行された正確なクエリ（WP_DEBUG_LOG から取得）は次のとおりでした:

— リテラルトークン MEC_SQLI_CANARY が実行されたステートメントにそのまま出現しており、生の連結が確認されました。atts[exclude][] パラメータ（skins.php:803 / 603、NOT IN）も同様に注入可能です（実験室確認済み: atts[exclude][]=0)) OR SLEEP(3)# → ~3.5s）。同一のクエリと注入が7.33.0（現在のビルド）でも再現されました — 同じカナリア、同じ SLEEP 動作。

自動化 PoC

mec-unauth-sqli-poc.py（付属）は完全に自己完結型で、認証情報は不要です。インジェクションを確認し（ベースライン vs. SLEEP）、その後、時間ベースのブラインド抽出で任意のデータを抽出します（デフォルト: @@version、DBユーザー、最初の管理者の user_login:user_pass）。各応答を検証し（HTTP 200）、--delay + バックオフを使用して WAF/レート制限（例: mod_evasive）を回避します。データは変更されません（読み取り専用の SELECT コンテキスト）。

影響

認証不要、ネットワーク到達可能、データベースへの完全な読み取りアクセス: wp_users のパスワードハッシュ、wp_options（auth_key、APIシークレット、トークン）、およびその他の任意のテーブル。実際には、これは完全なサイト乗っ取りにつながります（オフラインでのハッシュクラッキング、シークレット/セッションの盗難）。整合性への影響は限定的です — インジェクションは $wpdb->get_results() を介した SELECT で実行され、スタッククエリは許可されないため — したがって I:N。大量の SLEEP/BENCHMARK は可用性を低下させる可能性がありますが、主で確実に実証された影響は機密性（C:H）であり、CVSS 7.5 になります。

影響を受けるファイル

行番号は7.33.0（現在）で、括弧内は6.5.6です。コードは範囲全体で同一です。

兄弟スキン（grid、masonry、agenda、timeline、tile、custom）は、同じ load_more() + skins.php クエリビルダーを共有し、それぞれ wp_ajax_nopriv_* アクションを登録します → 同じバグ、複数のエントリポイント。

過去の Modern Events Calendar SQL インジェクション CVE との違い

これは明確に区別され、これまで報告されていないインジェクションポイントです。公に文書化されたすべての MEC SQL インジェクションは、異なる AJAX アクションとパラメータを標的としており、すべてこの発見より後のバージョンで修正されました（この発見は 7.33.0 で実験室確認済みで現在も有効です）。

• 異なるコードパス。 以前の認証不要の問題は単一イベントハンドラ mec_load_single_page にあります。これはスキンの「もっと読み込む」ページネーション（load_more() → MEC_skin::initialize() → app/libraries/skins.php post_id IN (...) ビルダー）にあり、sanitize_deep_array() のノーオペレーションデフォルトブランチを通じて到達します。mec_load_single_page のパッチは skins.php には触れていません。
• 設定の前提条件なし。 CVE-2021-4458 (id) は、その値が引用符で囲まれたコンテキストにあるため、PHP/WordPress の入力スラッシュが無効の場合（デフォルト以外の状態）にのみ悪用可能でした。ここでは atts[include]/atts[exclude] の値は引用符で囲まれていない数値の IN(...) コンテキストに配置され、括弧 + SQL キーワード（0)) OR SLEEP(3)#）で悪用され、wp_magic_quotes() は無力化しません。したがって、デフォルトの WordPress インストールで悪用可能です — 標準 WP 7.0（マジッククォート有効）で実験室確認済み。
• 以前のすべての修正を生き延びています。 7.33.0 で発動を確認 — 最後の mec_load_single_page パッチ（6.4.0）から4年、メジャーバージョンが経過しています。

開示 / スコープに関する注記

Modern Events Calendar Lite は 2022-05-11 に wordpress.org から削除されました（「理由: ガイドライン違反」）。そのため、wordpress.org のビルドは 6.5.6 で凍結されています。これはプラグインが放棄されたことを意味しません — Webnus はプラットフォーム外で開発を継続しています: mec.webnus.net から配布されている現在の Lite ビルドは 7.33.0 であり、脆弱なコードパスはそこでもバイト単位で同一です（実験室確認済み。SQLi は 7.33.0 でも同一に発動）。したがって、このバグは削除後の範囲全体のすべてのリリースに影響します（凍結された wordpress.org コピーだけでなく）。

ルーティングの影響（「wordpress.org で閉鎖されている」という反論は、最初に思われるよりもはるかに弱い）：

• これは現在ベンダーが配布し、サポートされている製品であり、放棄されたコードではありません — 調整された開示を Webnus に送ることが主要なチャネルです。Webnus は積極的にアップデートを提供しており、パッチを適用する必要があります。
• MEC Pro（現在販売中。現在の 7.x）はこの同じ 7.x コードベース上に構築されています。app/libraries/skins.php、app/libraries/main.php、app/libraries/db.php は共有のコアライブラリであるため、Pro はほぼ確実に影響を受けます。これを正式に主張する前に、Pro のソースに対して確認する必要がありますが、共有ライブラリのアーキテクチャからすると非常に可能性が高いです。Pro への影響が確認されれば、この発見は Patchstack（公に販売されているコンポーネント）にとって明確にスコープ内となり、wordpress.org のリスト状況に関係なく MITRE/Patchstack CVE に値します。
• wordpress.org のリストに特化してゲートを設ける消費者（一部の Wordfence 報奨金基準。Lite フリービルドに適用される Patchstack の「クローズドコンポーネント」除外）については、凍結された 6.5.6 ではなく、ベンダー配布の 7.33.0 + Pro への影響を引用してください。

CVE は当然の価値があります: 認証不要、ネットワーク到達可能、フルDB読み取りのSQLインジェクションが、現在ベンダーが配布し、6桁の歴史的インストールベースを持つ製品に存在します。

タイムライン