CVE-2026-93300 — EventON - Subscriber ≤ 1.4.5 Неаутентифицированная SQLi (PoC)

Python proof-of-concept для CVE-2026-93300: неаутентифицированная SQL-инъекция через параметр email в WordPress-плагине EventON - Subscriber (Wordfence, CVSS 7.5 High).

CVE	CVE-2026-93300
Плагин	EventON - Subscriber (eventon-subscriber)
Затронуты	все версии ≤ 1.4.5
Исправленная версия	не опубликована (по состоянию на 2026-10)
Вектор	POST /wp-admin/admin-ajax.php, action=evosub_new_subscriber, параметр email
Аутентификация	отсутствует (неаутентифицированный)
CWE	CWE-89 SQL Injection

Рекомендация: https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/eventon-subscriber/eventon-subscriber-145-unauthenticated-sql-injection-via-email-parameter

Уязвимость

AJAX-обработчик формы подписки (evosub_new_subscriber, зарегистрированный через wp_ajax_nopriv_, доступный из публичной формы на фронтенде в assets/evosub_script.js) формирует существующий SQL-запрос, используя предоставленное пользователем значение email, без $wpdb->prepare() / надлежащего экранирования. Значение попадает в запрос без экранирования, поэтому злоумышленник может выйти за пределы строкового литерала и добавить/изменить запрос, чтобы прочитать произвольные данные из базы данных.

Клиентское регулярное выражение для email в evosub_script.js — единственная проверка формата в браузере; она не обеспечивает никакой серверной защиты.

Требования

• Python 3.8+ (только стандартная библиотека, без пакетов pip)
• Цель, которую вы уполномочены тестировать

Использование

# 1. Detect only (fingerprint handler, find working injection oracle)
python3 cve_2026_93300.py --url https://target.example --mode check

# 2. Dump wp_users (login / email / password hash)
python3 cve_2026_93300.py --url https://target.example --mode users --prefix wp_

# 3. Extract any scalar query result
python3 cve_2026_93300.py --url https://target.example --mode sql \
    --sql "SELECT option_value FROM wp_options WHERE option_name='admin_email'"

Общие параметры

Параметр	По умолчанию	Описание
--mode	check	check / users / sql
--action	evosub_new_subscriber	AJAX-действие для проверки
--param	email	внедряемый параметр
--prefix	wp_	префикс таблиц WordPress
--sql	—	скалярный SELECT для --mode sql
--delay	2.0	секунды SLEEP() для временного оракула
--timeout	25	таймаут HTTP
--max-id	15	максимальный ID пользователя для сканирования
--proxy / --insecure / --ua	—	HTTP-прокси / пропуск проверки TLS / пользовательский UA

Как это работает

1. Фингерпринтинг — сравнивает action=evosub_new_subscriber с незарегистрированным действием (0 / HTTP 400), чтобы подтвердить наличие и работоспособность обработчика.
2. Обнаружение, в порядке предпочтения:
   • ошибочные пробы (', ", \) → если SQL-ошибки отражаются (WP_DEBUG), используется оракул на основе ошибок (самый быстрый, один запрос на бит);
   • перебор количества столбцов UNION с SLEEP() → оракул union-time (одна оценка на пробу, без замедления на каждую строку);
   • проба стекированных запросов (;SELECT SLEEP(...)) → оракул stacked-time, если драйвер допускает множественные операторы;
   • временные шаблоны (OR/AND/paren/concat SLEEP) → резервный оракул template-time.
3. Самопроверка оракула — каждый оракул должен ответить 1=1 → истина и 1=0 → ложь (повторно) до начала извлечения, что отсеивает ложные срабатывания на медленных/нестабильных целях.
4. Извлечение — бинарный поиск по LENGTH() и ASCII(SUBSTRING(...)) (7 запросов на символ).

--mode check завершается контрольным извлечением user_login@USER() для подтверждения доступа к данным.

Примечания и ограничения

• Обнаружение может создать несколько записей poc*@example.invalid в типе записей evo-subscriber; они видны в разделе Events → All Subscribers и могут быть перемещены в корзину.
• Если обработчик проверяет email на стороне сервера строгим фильтром, все пробы ведут себя одинаково, и инструмент сообщает не уязвим / входные данные валидируются.
• Цели с неработающим admin-ajax.php (фатальная ошибка на базовой линии) помечаются как неработоспособные, и работа прерывается.
• Формы запросов, отличные от SELECT (контекст INSERT/UPDATE), обнаруживаются, но могут не иметь рабочего временного оракула.
• Поддерживайте --delay ≥ 1.0 на реальных целях; очень малые задержки дают ложноотрицательные результаты на каналах с высокой задержкой.

Рекомендации по защите

• Обновите/замените плагин; исправленная версия не опубликована — деактивируйте его, если форма подписки не критична для бизнеса.
• Обрабатывайте email (и все входные данные запроса) через $wpdb->prepare() / esc_sql(); валидируйте с помощью is_email() на стороне сервера.
• WAF: блокируйте неаутентифицированные запросы к admin-ajax.php, значение email в которых содержит SQL-метасимволы (', ", \, --, ;, UNION).

Ссылки

• Рекомендация Wordfence (ссылка выше) — автор обнаружения: Austin Ginder
• Rapid7: https://www.rapid7.com/db/vulnerabilities/cve-2026-93300/
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-93300

Отказ от ответственности

Только для авторизованного тестирования безопасности и образовательных целей. Несанкционированный доступ к компьютерным системам незаконен. Вы несёте ответственность за соблюдение всех применимых законов.