Администратор

5️⃣ Детали уязвимости

👉 Краткое описание

В плагине Payment Forms for Paystack версии 4.0.1 и ниже присутствует уязвимость SQL-инъекции из-за недостаточной проверки вводимых данных и обработки экранирования для параметра URL order при просмотре списка платежей в платёжных формах. Благодаря этому злоумышленник с привилегиями администратора может извлечь всю информацию из базы данных целевого сайта.

Хотя эта уязвимость не позволяет напрямую запрашивать данные, данные можно извлечь с помощью техники Time-based SQL Injection.

👉 Как воспроизвести (PoC)

1. Подготовьте сайт WordPress с установленным плагином Payment Forms for Paystack версии 4.0.1 или ниже.

2. Поскольку для выполнения запроса необходимо добавить форму Paystack, добавьте форму из меню добавления формы Paystack (wp-admin/post-new.php?post_type=paystack_form).

   

3. После добавления формы вы можете проверить шорткод и вставить атрибут ID этого шорткода в параметр URL form в приведённом ниже URL перед его открытием.

   root@kitploit:~

   http://localhost:8080/wp-admin/edit.php?post_type=paystack_form&page=submissions&form=<Insertion Point>&orderby=&order=,+(select+sleep(5)+from+dual+where+1=1)
   

   Например, если [pff-paystack id="13"], перейдите по адресу http://localhost:8080/wp-admin/edit.php?post_type=paystack_form&page=submissions&form=13&orderby=&order=,+(select+sleep(5)+from+dual+where+1=1)

   

4. В результате, поскольку условие where 1=1 в SQL-инъекции, вставленной в параметр URL order, всегда истинно, вы можете подтвердить, что функция sleep(5) выполняется и ответ приходит через 5 секунд.

   

5. С другой стороны, если изменить условие в SQL-инъекции, вставленной в order, на where 1=2, вы можете подтвердить, что ответ приходит немедленно.

   root@kitploit:~

   http://localhost:8080/wp-admin/edit.php?post_type=paystack_form&page=submissions&form=<Insertion Point>&orderby=&order=,+(select+sleep(5)+from+dual+where+1=2)
   

   Например, если [pff-paystack id="13"], перейдите по адресу http://localhost:8080/wp-admin/edit.php?post_type=paystack_form&page=submissions&form=13&orderby=&order=,+(select+sleep(5)+from+dual+where+1=2)

   

👉 Дополнительная информация (необязательно)

[Причина уязвимости]

При запросе URL-адреса, где возникает уязвимость, вызывается функция get_payments_by_id в файле /wp-content/plugins/payment-forms-for-paystack/includes/classes/class-helpers.php.

В этот момент параметр URL order напрямую вставляется в SQL-запрос и выполняется в базе данных без какой-либо проверки вводимых данных или обработки экранирования.

Поэтому при вставке SQL-инъекции , (select sleep(5) from dual where 1=1) в параметр URL order выполняется показанный ниже SQL-запрос. При этом в зависимости от того, истинно или ложно условие в полезной нагрузке, наблюдается разница во времени ответа, и эту разницу можно использовать для извлечения данных из базы данных.

[Реализация и выполнение PoC-кода]

1. Откройте код PoC в редакторе и введите адрес сайта WordPress и учётные данные администратора.

   

2. 2. Затем введите следующую команду для запуска PoC-кода.

   Необходимый модуль requests

   root@kitploit:~

   python poc.py
   

   

6️⃣ Демонстрация эксплойта

7️⃣ Ссылки

• https://nvd.nist.gov/vuln/detail/CVE-2025-22652