CVE-2025-68999

Happy Addons for Elementor <= 3.20.4 — Аутентифицированная (Contributor+) SQL-инъекция второго порядка

Ошибка

duplicate_meta_entries() в classes/clone-handler.php копирует строки мета-данных записи в клонированную запись с помощью самодельного массового INSERT. Он безопасно получает строки с помощью $wpdb->prepare(), но затем вставляет $entry->meta_key прямо в строку SQL без экранирования:

$_records[] = "( $duplicated_post_id, '{$entry->meta_key}', '{$_value}' )";
// ...
$wpdb->query( $query );

Поскольку meta_key берется из базы данных, код считает его доверенным. Но Contributor'ы могут задавать произвольные имена полей через панель Custom Fields — поэтому они контролируют, что находится в этом столбце.

Атака состоит из двух шагов:

1. Запись: сохранить вредоносную строку в качестве имени произвольного поля. add_post_meta() обрабатывает это безопасно — полезная нагрузка попадает в БД без выполнения чего-либо.
2. Триггер: нажать Happy Clone. duplicate_meta_entries() считывает ключ обратно и конкатенирует его в сырой INSERT. MySQL выполняет внедренный подзапрос.

Статический анализ упускает это, потому что источник опасных данных — это чтение из БД ($wpdb->get_results()), которое механизмы отслеживания помечают как очищенное. Граница хранения разрывает цепочку отслеживания.

Воздействие

Любой Contributor может извлечь:

• Хэши паролей всех пользователей (офлайн-взлом — режим hashcat 400)
• Секретные ключи / соли WordPress (подделка постоянных аутентификационных cookie)
• Любую строку из wp_options (ключи API, платежные реквизиты)
• Приватное содержимое записей

Более 400 000 активных установок были затронуты на момент раскрытия.

Использование

pip install requests
python3 poc.py https://target.com contributor p4ss

Скрипт аутентифицируется через HTTP, сохраняет полезную нагрузку инъекции в качестве имени произвольного поля, запускает действие Happy Clone и считывает утекший хэш из мета-полей клонированной записи. Вывод сохраняется в hash.txt.

hashcat -m 400 hash.txt rockyou.txt

Полное описание

https://folks-iwd.github.io/writeups/cve-2025-68999.html

График раскрытия

Исправление

weDevs заменили весь самодельный INSERT на:

foreach ( $entries as $entry ) {
    update_post_meta( $duplicated_post_id, $entry->meta_key, $entry->meta_value );
}

update_post_meta() внутри вызывает $wpdb->update() с подготовленными запросами как для ключа, так и для значения.