🧾 상세 설명

CVE-2025-10175 — 허가되지 않은 데이터베이스 접근 및 데이터 탈취

• 영향받는 구성 요소: wplf_update_from_previous() ($wpdb->get_results("SELECT * FROM $table WHERE id = $id ..."))
• 공격 벡터: 인증됨 (nonce 필요) AJAX 기반 블라인드 SQL 인젝션 (id 매개변수)
• 트리거: 유효한 nonce와 함께 조작된 요청을 /wp-admin/admin-ajax.php에 보내면 시간 지연이 관찰됩니다:

• 영향: 공격자는 데이터베이스 내용(사용자 계정, 이메일, 구성 값)을 단계적으로 추출하고 관리자 비밀번호 해시를 획득하여 권한 상승으로 이어질 수 있습니다. 스키마 정보와 레코드 수의 노출은 기밀성을 약화시키고 전체 WordPress 설치에 대한 후속 표적 공격을 용이하게 합니다.
• PoC:
  1. 인증된 사용자가 유효한 nonce와 함께 POST 요청을 /wp-admin/admin-ajax.php에 보냅니다.
  2. id 매개변수에 1 AND SLEEP(5)와 같은 시간 기반 페이로드가 주입됩니다.
  3. 서버 응답이 지연되어 블라인드 SQL 인젝션의 존재를 확인합니다.

❓취약점 원인

id 매개변수가 $_REQUEST에서 직접 가져와 sanitize_text_field()만 통과하는데, 이는 SQL 인젝션을 방지하지 못합니다. 그 값은 준비된 문(Prepared Statements)이나 적절한 매개변수 바인딩 없이 SQL 쿼리에 직접 연결됩니다.

제안된 수정:

$wpdb->prepare() 사용

한마디

플러그인 자체에 SQL 인젝션 취약점이 있어도 WordPress 코어 부분이 이스케이프해 버리는 경우가 꽤 있지만, 이번에는 Prepare도 Bind도 사용하지 않고, esc 시리즈도 사용되지 않았기 때문에 Blind SQL이 가능했다. 이를 계기로 Blind SQL 구문을 공부했지만, 법에 걸릴까 두려워서 공유하지 않습니다.

🔍 발견자

이름: MooseLove
역할: 독립 보안 연구원 / 버그 헌터
연락처: 요청 시 제공

📚 참고 자료

• 제품: https://wordpress.org/plugins/wp-links-page/

⚠️ 라이선스

이 권고는 대중의 보안 인식을 위해 제공됩니다. 출처를 밝히고 자유롭게 공유할 수 있습니다.