Descrição

O Modern Events Calendar Lite regista uma família de ações "load more" não autenticadas em admin-ajax.php para seus skins de listagem de eventos (list, grid, masonry, agenda, timeline, tile, custom). Cada handler lê o array atts da requisição, controlado pelo atacante, e o passa por um helper chamado sanitize_deep_array() que — quando chamado com seus argumentos padrão — não realiza nenhuma sanitização — e depois concatena os valores de atts['include'] (e atts['exclude']) crus em um fragmento SQL post_id IN (...) que é executado com $wpdb->get_results() e sem $wpdb->prepare().

Como os pontos de entrada são registrados em wp_ajax_nopriv_*, não é necessária autenticação, conta, nonce ou interação do usuário. Um atacante remoto não autenticado pode injetar SQL arbitrário na cláusula WHERE de um SELECT contra wp_mec_dates e ler qualquer dado no banco de dados do WordPress (hashes de senha de usuários, segredos/chaves de wp_options, dados de outros plugins) por meio de técnicas cegas baseadas em tempo / booleanas / baseadas em erro.

Causa raiz

1. Um "sanitizador" que não sanitiza nada no caminho padrão

app/libraries/main.php:9607:

A guarda (is_array($excludes) and !count($excludes)) faz com que a função seja uma operação nula completa quando $excludes é o array vazio padrão — cada valor é copiado literalmente. A intenção era evidentemente "se houver uma lista de exclusão, pule essas chaves"; a lógica booleana, em vez disso, pula tudo sempre que nenhuma lista de exclusão é fornecida.

2. O chamador não fornece $excludes

app/skins/list.php:499-501 (load_more()):

sanitize_deep_array($_REQUEST['atts']) é chamado com um único argumento → $excludes assume o padrão array() → o ramo de operação nula acima → $atts é o $_REQUEST['atts'] cru e não confiável.

3. Concatenação crua na cláusula IN (...)

app/libraries/skins.php:

Os elementos do array são passados por implode() diretamente para a string SQL, sem cast para inteiro e sem escape. (absint()/(int) em cada elemento teria corrigido isso.)

4. Execução sem prepared statement

app/libraries/db.php:79:

A string totalmente montada é entregue a $wpdb->get_results() literalmente.

Fluxo de taint (requisição → sink):

Alcance

app/skins/list.php:51-52:

O registro nopriv torna o endpoint acessível antes da autenticação. O mesmo formato de load_more() e o construtor de consultas compartilhado skins.php estão presentes nos skins irmãos, cada um com sua própria ação wp_ajax_nopriv_*, portanto a mesma injeção é alcançável por qualquer um deles:

Nenhum nonce é verificado em load_more(), e a ação não exige que qualquer shortcode do plugin esteja presente em uma página — os handlers AJAX são registrados incondicionalmente no init.

Prova de Conceito (verificada em laboratório, MEC Lite 6.5.6, WordPress 6.6.5, MariaDB 10.x)

Todas as requisições são não autenticadas (sem cookie, sem nonce). O valor injetado é colocado em atts[include][]; o payload fecha os dois parênteses abertos do grupo IN ((...) AND (... IN ( e acrescenta um OR <sleep> de nível superior para que a condição seja avaliada para cada linha varrida e, em seguida, comenta o )) ORDER BY ... final:

A consulta exata executada (capturada de WP_DEBUG_LOG) para um canário de erro atts[include][]=0)MEC_SQLI_CANARY foi:

— o token literal MEC_SQLI_CANARY aparece literalmente na instrução executada, confirmando a concatenação crua. O parâmetro atts[exclude][] (skins.php:803 / 603, NOT IN) é injetável da mesma forma (confirmado em laboratório: atts[exclude][]=0)) OR SLEEP(3)# → ~3.5s). A mesma consulta e injeção foram reproduzidas na 7.33.0 (build atual) — mesmo canário, mesmo comportamento de SLEEP.

PoC automatizado

mec-unauth-sqli-poc.py (incluído) é totalmente autossuficiente e não exige credenciais: ele confirma a injeção (baseline vs. SLEEP) e, em seguida, realiza extração cega baseada em tempo de dados arbitrários (padrão: @@version, usuário do banco e o user_login:user_pass do primeiro admin). Ele valida cada resposta (HTTP 200) e espaça as requisições com --delay + back-off para sobreviver a WAF/rate-limiting (ex.: mod_evasive). Nenhum dado é modificado (contexto SELECT somente leitura).

Impacto

Acesso de leitura total ao banco de dados, não autenticado e alcançável pela rede: hashes de senha de wp_users, wp_options (auth_key, segredos de API, tokens) e qualquer outra tabela. Na prática, isso encadeia para uma tomada completa do site (quebra de hash offline, roubo de segredos/sessões). O impacto na integridade é limitado — a injeção é executada em um SELECT via $wpdb->get_results(), que não permite consultas empilhadas — daí I:N. SLEEP/BENCHMARK pesados podem degradar a disponibilidade, mas o impacto principal, demonstrado de forma confiável, é a confidencialidade (C:H), resultando em CVSS 7.5.

Arquivos afetados

Os números de linha são fornecidos para a 7.33.0 (atual), com a 6.5.6 entre parênteses; o código é idêntico em toda a faixa.

Os skins irmãos (grid, masonry, agenda, timeline, tile, custom) compartilham o mesmo load_more() + construtor de consultas skins.php e cada um registra uma ação wp_ajax_nopriv_* → mesmo bug, múltiplos pontos de entrada.

Distinção em relação a CVEs anteriores de injeção SQL do Modern Events Calendar

Este é um ponto de injeção distinto e anteriormente não relatado. Toda injeção SQL do MEC documentada publicamente tem como alvo uma ação e um parâmetro AJAX diferentes, e todas foram corrigidas em versões posteriores a esta descoberta (confirmado em laboratório como ativa na 7.33.0):

• Caminho de código diferente. Os problemas anteriores não autenticados estão no handler de evento único mec_load_single_page; este está na paginação "load more" do skin (load_more() → MEC_skin::initialize() → construtor post_id IN (...) de app/libraries/skins.php), alcançado por meio do ramo padrão de operação nula de sanitize_deep_array(). Os patches de mec_load_single_page não tocam em skins.php.
• Sem pré-condição de configuração. A CVE-2021-4458 (id) era explorável somente com o escape de entrada do PHP/WordPress desativado (um estado não padrão), porque esse valor está em um contexto entre aspas. Aqui, os valores de atts[include]/atts[exclude] caem em um contexto numérico sem aspas IN(...) e são explorados com parênteses + palavras-chave SQL (0)) OR SLEEP(3)#), que o wp_magic_quotes() não neutraliza. Portanto, é explorável em uma instalação padrão do WordPress — confirmado em laboratório em WP 7.0 padrão (magic quotes ativado).
• Sobrevive a todas as correções anteriores. Confirmado em funcionamento na 7.33.0 — quatro anos e uma versão principal depois do último patch de mec_load_single_page (6.4.0).

Divulgação / nota de escopo

O Modern Events Calendar Lite foi removido do wordpress.org em 2022-05-11 ("Motivo: Violação de Diretriz"), portanto o build do wordpress.org está congelado na 6.5.6. Isso não significa que o plugin foi abandonado — a Webnus continuou o desenvolvimento fora da plataforma: o build Lite atual distribuído a partir de mec.webnus.net é o 7.33.0, e o caminho de código vulnerável é byte por byte o mesmo lá (confirmado em laboratório; a SQLi dispara de forma idêntica na 7.33.0). O bug, portanto, afeta todas as versões na faixa pós-remoção, não apenas a cópia congelada do wordpress.org.

Implicações de encaminhamento (a objeção de "fechado no wordpress.org" é muito mais fraca do que parece à primeira vista):

• É um produto atual, distribuído pelo fornecedor e com suporte, não código abandonado — uma divulgação coordenada para a Webnus é o canal principal; eles publicam atualizações ativamente e devem corrigir.
• O MEC Pro (vendido ativamente; 7.x atual) é construído sobre essa mesma base de código 7.x. app/libraries/skins.php, app/libraries/main.php e app/libraries/db.php são bibliotecas centrais compartilhadas, portanto o Pro é quase certamente afetado. Isso deve ser confirmado contra o código-fonte do Pro antes de afirmá-lo formalmente, mas a arquitetura de bibliotecas compartilhadas torna isso muito provável. Um impacto confirmado no Pro torna a descoberta inequivocamente dentro do escopo da Patchstack (um componente vendido publicamente) e digna de uma CVE MITRE/Patchstack, independentemente do status no diretório do wordpress.org.
• Para consumidores que condicionam sua ação especificamente à listagem no wordpress.org (alguns critérios de recompensa da Wordfence; a exclusão de "componente fechado" da Patchstack aplicada ao build gratuito do Lite), cite o impacto da 7.33.0 distribuída pelo fornecedor + Pro, em vez da 6.5.6 congelada.

Uma CVE é justificada pelos méritos: injeção SQL não autenticada, alcançável pela rede, com leitura total do banco de dados, em um produto atual distribuído pelo fornecedor e com uma base histórica de instalações de seis dígitos.

Linha do tempo