WP-Links-Page-CVE-Report

CVE-2025-10175 の開示

CVE-2025-10175 - WP Links Page の脆弱性

このリポジトリは、Rico Macchi によって開発された WordPress プラグイン WP Links Page <= 4.9.6 で発見された脆弱性を開示するものです。

🛠 影響を受けるバージョン

• 製品: WP Links Page
• バージョン: v4.9.6
• URL: https://wordpress.org/plugins/wp-links-page/

---

🔒 割り当てられた CVE

CVE ID	種類	コンポーネント	影響
CVE-2025-10175	認証済み (Subscriber+) SQL インジェクション	wp-links-page/wp-links-page-free.php	不正なデータベースアクセスとデータの外部漏えい。

---

🧾 詳細な説明

CVE-2025-10175 — 不正なデータベースアクセスとデータの外部漏えい

• 影響を受けるコンポーネント: wplf_update_from_previous() ($wpdb->get_results("SELECT * FROM $table WHERE id = $id ..."))
• 攻撃ベクトル: 認証済み (nonce 必須) AJAX ベースのブラインド SQL インジェクション (id パラメータ)
• トリガー: 有効な nonce を添えて細工したリクエストを /wp-admin/admin-ajax.php に送信すると、時間遅延が観測されます:

POST /wp-admin/admin-ajax.php
Content-Type: application/x-www-form-urlencoded

action=wplf_update_from_previous&nonce=<valid_nonce>&id=1 AND SLEEP(5)

• 影響: 攻撃者はデータベースの内容 (ユーザーアカウント、メールアドレス、設定値) を少しずつ抽出し、管理者パスワードのハッシュを入手して権限昇格につなげることができます。スキーマ情報やレコード数の開示は機密性を弱め、WordPress インストール全体に対するその後の標的型攻撃を容易にします。
• PoC:

1. 認証済みユーザーが有効な nonce を添えて /wp-admin/admin-ajax.php に POST リクエストを送信します。
2. id パラメータに 1 AND SLEEP(5) のような時間ベースのペイロードが注入されます。
3. サーバーの応答が遅延し、ブラインド SQL インジェクションの存在が確認されます。

❓脆弱性の原因

id パラメータは $_REQUEST から直接取得され、sanitize_text_field() を通過するだけで、SQL インジェクションを防ぐことはできません。この値はその後、プリペアドステートメントや適切なパラメータバインドを行わずに SQL クエリへ直接連結されます。

推奨される修正:

$wpdb->prepare() を使用してください。

ひとこと

プラグイン自体にSQLインジェクション脆弱性があっても、WordPressのコア部分がエスケープしてしまうというケースはかなりあるが、今回はPrepareもBindも使っておらず、escシリーズも使われていなかったため、Blind SQLが可能だった。 これを期にBlind SQL構文の勉強をしたが、法律に引っかかるのが怖いので共有はしません。

🔍 発見者

名前: MooseLove
役割: 独立系セキュリティ研究者 / バグハンター
連絡先: リクエストに応じて提供

---

📚 参照

• 製品: https://wordpress.org/plugins/wp-links-page/

---

⚠️ ライセンス

このアドバイザリは、セキュリティ啓発を目的として公開されています。出典を明記の上、自由に共有できます。