バグの詳細

duplicate_meta_entries()（classes/clone-handler.php 内）は、手書きのバルクINSERTを使って投稿メタ行を複製した投稿にコピーします。行の取得は $wpdb->prepare() で安全に行いますが、その後 $entry->meta_key をエスケープせずに SQL 文字列へ直接埋め込みます:

meta_key はデータベース由来のため、コードはこれを信頼できるものとして扱います。しかし Contributor はカスタムフィールドパネルで任意のフィールド名を設定できるため、その列の内容を制御できます。

攻撃は2段階です:

1. 書き込み: 悪意のある文字列をカスタムフィールド名として保存します。add_post_meta() はこれを安全に処理するため、ペイロードは何も実行されずに DB に格納されます。
2. トリガー: Happy Clone をクリックします。duplicate_meta_entries() がキーを読み戻し、生の INSERT に連結します。MySQL が注入されたサブクエリを実行します。

静的解析はこれを検出できません。危険なデータの発生源が DB 読み取り（$wpdb->get_results()）であり、taint エンジンはこれをサニタイズ済みとみなすためです。保存の境界が taint チェーンを断ち切ります。

影響

Contributor は以下のデータを抽出できます:

• 全ユーザーのパスワードハッシュ（オフラインでクラック可能 — hashcat モード 400）
• WordPress のシークレットキー / ソルト（永続的な認証クッキーを偽造可能）
• wp_options の任意の行（API キー、決済資格情報）
• 非公開の投稿コンテンツ

開示時点で40万以上のアクティブインストールが影響を受けていました。

使用方法

このスクリプトは HTTP 経由で認証し、注入ペイロードをカスタムフィールド名として保存して、Happy Clone アクションをトリガーし、複製された投稿のメタフィールドから漏えいしたハッシュを読み取ります。出力は hash.txt に保存されます。

詳細な解説

https://folks-iwd.github.io/writeups/cve-2025-68999.html

開示タイムライン

修正内容

weDevs は手書きの INSERT 全体を次のコードに置き換えました:

update_post_meta() は内部的に $wpdb->update() を呼び出し、キーと値の両方についてプリペアドステートメントを使用します。