CVE-2025-22710

1️⃣ 组件类型

WordPress 插件

2️⃣ 组件详情

Component name WooCommerce Advanced Bulk Edit Products, Orders, Coupons, Any WordPress Post Type – Smart Manager

Vulnerable version <= 8.50.0

Component slug smart-manager-for-wp-e-commerce

Component link https://wordpress.org/plugins/smart-manager-for-wp-e-commerce/

3️⃣ OWASP 2017：十大

Vulnerability class A3：注入

Vulnerability type SQL 注入

4️⃣ 前置条件

管理员

5️⃣ 漏洞详情

👉 简要描述

WooCommerce Advanced Bulk Edit Products, Orders, Coupons, Any WordPress Post Type – Smart Manager（以下简称 Smart Manager）插件是一款允许批量编辑和查看 WordPress 中所有文章类型的插件。

在 Smart Manager 插件 8.50.0 及更低版本中，使用高级搜索功能查看文章时，由于过滤值在未经过转义处理的情况下传递给数据库查询，导致存在 SQL 注入漏洞。

然而，虽然无法在屏幕上直接看到 SQL 注入攻击的结果，但可以通过真假条件响应值的差异实现盲 SQL 注入。

👉 复现步骤（PoC）

⚠️ 必须至少存在一篇文章，才能观察到基于真假条件的响应值差异。

准备一个安装了 Smart Manager 插件的 WordPress 站点，使用管理员账户登录，然后导航到 Smart Manager 插件的仪表盘页面（/wp-admin/admin.php?page=smart-manager）。

点击搜索栏右侧的“高级搜索”复选框，打开高级搜索窗口。

在高级搜索筛选中，选择“文章标题”和“等于”，然后在文本输入框中输入 payload ' OR 1=1 )) #。之后，点击顶部的搜索按钮。

检查搜索结果时，由于 payload 的条件始终为真（OR 1=1），所有文章都被检索出来。

另一方面，如果在高级搜索筛选中选择“文章标题”和“等于”，并在文本输入框中输入 ' OR 1=2 )) #，由于条件始终为假（OR 1=2），将无法检索到任何文章。

👉 附加信息（可选）

[漏洞成因]

执行上述 PoC 描述中的“高级搜索”功能时，会生成以下数据包，高级搜索中输入的过滤值（文章标题、等于、' OR 1=1 )) #）被输入到请求数据 advanced_search_query 中。

advanced_search_query=[{"condition":"OR","rules":[{"condition":"AND","rules":[{"type":"wp_posts.post_title","operator":"is","value":"' OR 1=1 )) #"}]}]}]

当请求此数据包时，会调用 /wp-content/plugins/smart-manager-for-wp-e-commerce/classes/class-smart-manager-base.php 文件中的 get_data_model 函数，并按照以下顺序执行数据库查询。

如果请求数据 advanced_search_query 存在，则调用 process_search_cond 函数。此时，请求数据 advanced_search_query 被传递给键值对参数中键为 search_query 的值。
```
search_query=[{"condition":"OR","rules":[{"condition":"AND","rules":[{"type":"wp_posts.post_title","operator":"is","value":"' OR 1=1 )) #"}]}]}]
```
被调用的函数 process_search_cond 遍历键为 search_query 的值，将过滤值“文章标题（post_title）”初始化为变量 $search_col，并将包含 SQL 注入 payload 的过滤值 ' OR 1=1 )) # 初始化为变量 $search_value。