CVE-2025-22652

1️⃣ 组件类型

WordPress 插件

2️⃣ 组件详情

组件名称 Payment Forms for Paystack

受影响版本 <= 4.0.1

组件别名 payment-forms-for-paystack

组件链接 https://wordpress.org/plugins/payment-forms-for-paystack/

3️⃣ OWASP 2017：TOP 10

漏洞类别 A3：注入

漏洞类型 SQL注入

4️⃣ 前提条件

管理员

5️⃣ 漏洞详情

👉 简述

在 Payment Forms for Paystack 插件 4.0.1 及更低版本中，在支付表单中查看支付列表时，由于对 URL 参数 order 的输入验证和转义处理不足，存在 SQL 注入漏洞。攻击者可利用管理员权限提取目标站点数据库中的全部信息。

尽管此漏洞不允许直接查询数据，但可以使用基于时间的 SQL 注入技术来提取数据。

👉 如何复现（PoC）

1. 准备一个安装了 Payment Forms for Paystack 插件 4.0.1 或更低版本的 WordPress 站点。

2. 由于需要添加一个 Paystack 表单来执行查找，请从 Paystack 表单添加菜单（wp-admin/post-new.php?post_type=paystack_form）添加表单。

   

3. 添加表单后，您可以查看 ShortCode，并将该 ShortCode 的属性 ID 插入到下方 URL 的 URL 参数 form 中，然后再访问它。

   root@kitploit:~

   http://localhost:8080/wp-admin/edit.php?post_type=paystack_form&page=submissions&form=<Insertion Point>&orderby=&order=,+(select+sleep(5)+from+dual+where+1=1)
   

   例如，如果 [pff-paystack id="13"]，请访问 http://localhost:8080/wp-admin/edit.php?post_type=paystack_form&page=submissions&form=13&orderby=&order=,+(select+sleep(5)+from+dual+where+1=1)

   

4. 因此，由于插入到 URL 参数 order 中的 SQL 注入载荷中的条件子句 where 1=1 始终为真，您可以确认 sleep(5) 函数被执行，响应在 5 秒后到达。

👉 补充信息（可选）

[漏洞成因]

当请求存在漏洞的 URL 时，会调用文件 /wp-content/plugins/payment-forms-for-paystack/includes/classes/class-helpers.php 中的 get_payments_by_id 函数。

此时，URL 参数 order 未经任何输入验证或转义处理，被直接插入 SQL 查询并在数据库上执行。

因此，当 SQL 注入载荷 , (select sleep(5) from dual where 1=1) 被插入 URL 参数 order 时，将执行如下所示的 SQL 查询。此时，根据载荷中条件子句的真假，响应时间会存在差异，可以利用这一时间差异来提取数据库中的数据。

SELECT * FROM %i WHERE post_id = %d AND paid = %s ORDER BY %i , (select sleep(5) from dual where 1=1)

[PoC 代码实现与执行]

1. 在编辑器中打开 PoC 代码，并输入 WordPress 站点地址和管理员凭据。

   

2. 2. 然后输入以下命令来运行 PoC 代码。

   Required module requests

   root@kitploit:~

   python poc.py
   

   

6️⃣ 漏洞利用演示

7️⃣ 参考链接

• https://nvd.nist.gov/vuln/detail/CVE-2025-22652