Описание

Modern Events Calendar Lite регистрирует семейство неаутентифицированных действий admin-ajax.php «load more» для своих скинов списка событий (list, grid, masonry, agenda, timeline, tile, custom). Каждый обработчик считывает управляемый атакующим массив atts из запроса, передает его через вспомогательную функцию с именем sanitize_deep_array(), которая — при вызове со своими аргументами по умолчанию — не выполняет никакой санитации вообще — а затем конкатенирует значения atts['include'] (и atts['exclude']) в сыром виде во фрагмент SQL post_id IN (...) который выполняется с помощью $wpdb->get_results() и без $wpdb->prepare().

Поскольку точки входа зарегистрированы на wp_ajax_nopriv_*, не требуется ни аутентификации, ни учетной записи, ни nonce, ни взаимодействия с пользователем. Неаутентифицированный удаленный атакующий может внедрить произвольный SQL в предложение WHERE запроса SELECT к wp_mec_dates и прочитать любые данные в базе данных WordPress (хэши паролей пользователей, секреты/ключи wp_options, данные других плагинов) с помощью слепых time-based / boolean / error-based техник.

Первопричина

1. «Санитайзер», который ничего не санитизирует на пути по умолчанию

app/libraries/main.php:9607:

Условие (is_array($excludes) and !count($excludes)) делает функцию полностью бездействующей, когда $excludes является пустым массивом по умолчанию — каждое значение копируется без изменений. Очевидно, намерением было «если есть список исключений, пропустить эти ключи»; по факту булева логика пропускает всё, если список исключений не предоставлен.

2. Вызывающий код не предоставляет $excludes

app/skins/list.php:499-501 (load_more()):

sanitize_deep_array($_REQUEST['atts']) вызывается с одним аргументом → $excludes по умолчанию равен array() → срабатывает ветка бездействия выше → $atts — это сырой, недоверенный $_REQUEST['atts'].

3. Прямая конкатенация в предложение IN (...)

app/libraries/skins.php:

Элементы массива напрямую подставляются в SQL-строку через implode() без приведения к целому числу и без экранирования. (absint()/(int) для каждого элемента решили бы проблему.)

4. Выполнение без подготовленного выражения

app/libraries/db.php:79:

Полностью собранная строка передаётся в $wpdb->get_results() без изменений.

Поток заражения (запрос → сток):

Доступность

app/skins/list.php:51-52:

Регистрация nopriv делает конечную точку доступной до аутентификации. Такая же структура load_more() и общий построитель запросов в skins.php присутствуют в родственных скинах, каждый со своим действием wp_ajax_nopriv_*, поэтому та же инъекция доступна через любой из:

В load_more() nonce не проверяется, и для действия не требуется наличие шорткода плагина на странице — AJAX-обработчики регистрируются безусловно при инициализации.

PoC (лабораторно подтверждено, MEC Lite 6.5.6, WordPress 6.6.5, MariaDB 10.x)

Все запросы неаутентифицированные (без cookie, без nonce). Внедряемое значение помещается в atts[include][]; полезная нагрузка закрывает две открывающие скобки IN ((...) AND (... IN ( и добавляет OR <sleep> верхнего уровня, чтобы условие оценивалось для каждой сканируемой строки, затем комментирует завершающие )) ORDER BY ...:

Точный выполненный запрос (захвачен из WP_DEBUG_LOG) для канарейки ошибок atts[include][]=0)MEC_SQLI_CANARY:

— литеральный токен MEC_SQLI_CANARY появляется дословно в выполненном выражении, что подтверждает прямую конкатенацию. Параметр atts[exclude][] (skins.php:803 / 603, NOT IN) инжектируем аналогично (лабораторно подтверждено: atts[exclude][]=0)) OR SLEEP(3)# → ~3.5s). Идентичный запрос и инъекция были воспроизведены на 7.33.0 (текущая сборка) — та же канарейка, то же поведение SLEEP.

Автоматизированный PoC

mec-unauth-sqli-poc.py (прилагается) полностью самодостаточен и не требует учетных данных: он подтверждает инъекцию (базовый замер против SLEEP), затем выполняет time-based слепое извлечение произвольных данных (по умолчанию: @@version, пользователь БД, и user_login:user_pass первого администратора). Он проверяет каждый ответ (HTTP 200) и регулирует запросы с помощью --delay + back-off для обхода WAF/лимитирования (например, mod_evasive). Данные не изменяются (контекст SELECT только для чтения).

Влияние

Неаутентифицированный, доступный по сети, полный доступ на чтение к базе данных: хэши паролей wp_users, wp_options (auth_key, секреты API, токены) и любые другие таблицы. На практике это приводит к полному захвату сайта (офлайн-взлом хэшей, кража секретов/сессий). Влияние на целостность ограничено — инъекция выполняется в SELECT через $wpdb->get_results(), который не допускает составных запросов, следовательно I:N. Тяжелые SLEEP/BENCHMARK могут ухудшить доступность, но основное, надежно продемонстрированное воздействие — на конфиденциальность (C:H), что дает CVSS 7.5.

Затронутые файлы

Номера строк приведены для 7.33.0 (текущая) с указанием 6.5.6 в скобках; код идентичен во всем диапазоне.

Родственные скины (grid, masonry, agenda, timeline, tile, custom) используют ту же структуру load_more() + построитель запросов skins.php и каждый регистрирует действие wp_ajax_nopriv_* → та же ошибка, несколько точек входа.

Отличие от предыдущих CVE для SQL-инъекций в Modern Events Calendar

Это отдельная, ранее не сообщавшаяся точка инъекции. Каждая публично задокументированная SQL-инъекция в MEC нацелена на другое AJAX-действие и параметр, и все были исправлены в версиях, которые данная находка превосходит (лабораторно подтверждено, что она активна в 7.33.0):

• Другой путь кода. Предыдущие проблемы без аутентификации находятся в обработчике одного события mec_load_single_page; эта — в пагинации "load more" скинов (load_more() → MEC_skin::initialize() → построитель post_id IN (...) в app/libraries/skins.php), достигаемой через ветку бездействия по умолчанию в sanitize_deep_array(). Исправления mec_load_single_page не затрагивают skins.php.
• Нет предварительных условий конфигурации. CVE-2021-4458 (id) была эксплуатируема только при отключенном экранировании ввода в PHP/WordPress (нестандартное состояние), поскольку значение находится в кавычковом контексте. Здесь значения atts[include]/atts[exclude] попадают в некавычковый числовой контекст IN(...) и эксплуатируются с помощью скобок и SQL-ключевых слов (0)) OR SLEEP(3)#), которые wp_magic_quotes() не нейтрализует. Следовательно, это эксплуатируемо на стандартной установке WordPress — лабораторно подтверждено на стандартном WP 7.0 (магические кавычки включены).
• Переживает все предыдущие исправления. Подтверждено срабатывание на 7.33.0 — через четыре года и мажорную версию после последнего патча mec_load_single_page (6.4.0).

Раскрытие / сфера применения

Modern Events Calendar Lite был удален из wordpress.org 2022-05-11 ("Причина: нарушение руководства"), поэтому сборка на wordpress.org заморожена на 6.5.6. Это не означает, что плагин заброшен — Webnus продолжил разработку вне платформы: текущая Lite-сборка, распространяемая с mec.webnus.net — это 7.33.0, и уязвимый путь кода там байт-в-байт тот же самый (лабораторно подтверждено; SQLi срабатывает идентично на 7.33.0). Таким образом, ошибка затрагивает каждый выпуск в диапазоне после удаления, а не только замороженную копию на wordpress.org.

Последствия для маршрутизации (возражение "закрыт на wordpress.org" гораздо слабее, чем кажется):

• Это текущий, распространяемый вендором, поддерживаемый продукт, а не заброшенный код — координированное раскрытие информации Webnus является основным каналом; они активно выпускают обновления и должны исправить.
• MEC Pro (активно продается; текущий 7.x) построен на той же кодовой базе 7.x. app/libraries/skins.php, app/libraries/main.php и app/libraries/db.php являются общими библиотеками ядра, поэтому Pro почти наверняка затронут. Это следует подтвердить на исходном коде Pro перед формальным утверждением, но архитектура с общими библиотеками делает это очень вероятным. Подтвержденное влияние на Pro делает находку однозначно входящей в сферу действия Patchstack (публично продаваемый компонент) и заслуживающей CVE от MITRE/Patchstack независимо от статуса листинга на wordpress.org.
• Для потребителей, которые ориентируются именно на листинг wordpress.org (некоторые критерии вознаграждений Wordfence; исключение "закрытый компонент" Patchstack в применении к бесплатной сборке Lite), следует ссылаться на распространяемую вендором версию 7.33.0 + влияние на Pro, а не на замороженную 6.5.6.

CVE оправдана по существу: неаутентифицированная, доступная по сети, SQL-инъекция с полным чтением БД в текущем, распространяемом вендором продукте с шестизначной исторической базой установок.

Хронология