未認証の攻撃者は、悪意のあるペイロードを作成し、商品をカートに追加する際に ppom[fields][id] パラメータに注入することで、この脆弱性を悪用できます。これにより、攻撃者は時間遅延関数（SLEEP()）などの任意のSQLコマンドを実行でき、脆弱性を確認したり、データベースから機密情報を1文字ずつ外部に持ち出したりすることが可能になります。

この脆弱性は、プラグイン設定で**「Enable Legacy Price Calculations」**オプションが有効な場合に発動します。この設定により、カート操作中にアプリケーションが脆弱なコードパスを使用するようになるためです。

リポジトリ構成

セットアップと再現手順

1. 要件

• ローカルWebサーバー環境（例：XAMPP、WAMP、MAMP）。
• 新しいWordPressインストール。
• WooCommerceプラグインがインストールされ、有効化されていること。
• requests ライブラリがインストールされたPython 3.x（pip install requests）。

2. ラボのセットアップ

1. ローカルWebサーバー（Apache、MySQL）を起動します。
2. ディレクトリ（例：/htdocs/wp4hacking/）にWordPressをインストールします。
3. WordPressダッシュボードからWooCommerceプラグインをインストールして有効化します。
4. woocommerce-product-addon/ ディレクトリから .zip ファイルをアップロードして、このリポジトリに含まれる脆弱性のあるバージョンの woocommerce-product-addon（v33.0.15）をインストールします。
5. 「PPOM for WooCommerce」プラグインを有効化します。

3. 脆弱な設定

1. WordPressダッシュボードで、PPOM Fields > Settings に移動します。
2. 「Enable Legacy Price Calculations」 オプションを見つけ、チェックボックスをオンにして有効にします。
3. 変更を保存します。
4. PPOM Fields に移動し、新しいフィールドグループを作成します（例：「PoC Group」という名前）。
5. このグループ内に、テキスト入力フィールドを追加します。タイトル（例：「SQL Injection」）とデータ名（例：sql_injection）を設定します。
6. Products > Add New に移動して、新しいWooCommerce商品を作成します。
7. 商品に名前（例：「Product Testing」）と価格を設定します。
8. 商品編集ページで、「PPOM Fields」タブを見つけ、作成した「PoC Group」を選択します。
9. 商品を公開します。商品ID（例：72）をメモします。

悪用方法

提供されている exploit.py スクリプトは、SLEEP() コマンドを注入し、サーバーの応答時間を測定することで脆弱性を確認します。

エクスプロイトの実行方法

1. exploit.py ファイルを開き、以下の変数を設定します。

   • PRODUCT_URL: 作成した脆弱な商品ページの完全なURL。
   • add_to_cart_data['add-to-cart']: 脆弱な商品のID。

2. ターミナルからスクリプトを実行します。

   root@kitploit:~

   python exploit.py
   

期待される出力

ターゲットが脆弱な場合、サーバーは SLEEP() の時間よりも長く応答に時間がかかり、スクリプトがタイムアウトします。スクリプトはこのタイムアウトを悪用の成功として正しく解釈します。

緩和策

• 直ちに更新: 「PPOM for WooCommerce」プラグインをバージョン33.0.16以降にアップグレードしてください。
• プリペアドステートメントの使用: 修正版では $wpdb->prepare() を使用して入力を適切にサニタイズし、SQLインジェクションを防いでいます。

修正済みコード（classes/plugin.class.php）:

免責事項

このPoCは、教育および研究目的のみを意図しています。所有していない、またはテストする明示的な許可がないシステムでは使用しないでください。著者は、このスクリプトの誤用またはそれによって引き起こされた損害について一切の責任を負いません。