🧾 Descrição Detalhada

CVE-2025-10175 — Acesso Não Autorizado ao Banco de Dados e Exfiltração de Dados

• Componente Afetado: wplf_update_from_previous() ($wpdb->get_results("SELECT * FROM $table WHERE id = $id ..."))
• Vetor de Ataque: Autenticado (nonce necessário) Injeção SQL Cega baseada em AJAX (parâmetro id)
• Gatilho: Ao enviar uma requisição maliciosa com um nonce válido para /wp-admin/admin-ajax.php, um atraso de tempo pode ser observado:

• Impacto: Atacantes podem extrair gradualmente o conteúdo do banco de dados (contas de usuários, e-mails, valores de configuração) e obter hashes de senhas de administrador, levando à escalada de privilégios. A divulgação de informações de esquema e contagens de registros enfraquece a confidencialidade e facilita ataques direcionados subsequentes contra toda a instalação do WordPress.
• PoC:

1. Um usuário autenticado envia uma requisição POST para /wp-admin/admin-ajax.php com um nonce válido.
2. O parâmetro id é injetado com um payload baseado em tempo, como 1 AND SLEEP(5).
3. A resposta do servidor é atrasada, confirmando a presença de Injeção SQL Cega.

❓Motivo da vulnerabilidade

O parâmetro id é obtido diretamente de $_REQUEST e passado apenas por sanitize_text_field(), que não previne injeção SQL. O valor é então concatenado diretamente na consulta SQL sem prepared statements ou vinculação adequada de parâmetros.

Correção Proposta:

Use $wpdb->prepare()

Nota

Mesmo que o próprio plugin tenha uma vulnerabilidade de injeção SQL, há muitos casos em que o núcleo do WordPress escapa, mas desta vez, como não foram usados Prepare, Bind ou a série esc, foi possível realizar SQL cego. Aproveitei para estudar a sintaxe de SQL cego, mas tenho medo de infringir a lei, então não compartilho.

🔍 Descobridor

Nome: MooseLove
Papel: Pesquisador de segurança independente / caçador de bugs
Contato: Disponível mediante solicitação

📚 Referências

• Produto: https://wordpress.org/plugins/wp-links-page/

⚠️ Licença

Este aviso é fornecido para conscientização pública de segurança. Livre para compartilhar com atribuição.