CVE-2025-68999

Happy Addons for Elementor <= 3.20.4 — 已认证（贡献者+）二阶SQL注入

漏洞详情

duplicate_meta_entries() 位于 classes/clone-handler.php 中，它使用手写的批量 INSERT 将文章元数据行复制到克隆的文章。它使用 $wpdb->prepare() 安全地获取行，但随后将 $entry->meta_key 直接插入 SQL 字符串而不进行转义：

$_records[] = "( $duplicated_post_id, '{$entry->meta_key}', '{$_value}' )";
// ...
$wpdb->query( $query );

由于 meta_key 来自数据库，代码将其视为可信。但贡献者可以通过自定义字段面板设置任意字段名称——因此他们控制该列中的内容。

攻击分为两步：

1. 写入： 将恶意字符串存储为自定义字段名称。add_post_meta() 安全地处理此操作——有效载荷进入数据库而不执行任何操作。
2. 触发： 点击 Happy Clone。duplicate_meta_entries() 读回键并将其连接到原始 INSERT 中。MySQL 执行注入的子查询。

静态分析会遗漏这一点，因为危险数据的来源是数据库读取（$wpdb->get_results()），污点引擎将其标记为已清理。存储边界打破了污点链。

影响

任何贡献者都可以提取：

• 所有用户的密码哈希（离线破解——hashcat mode 400）
• WordPress 密钥 / 盐（伪造持久认证 Cookie）
• wp_options 中的任何行（API 密钥、支付凭据）
• 私有文章内容

披露时超过 40 万活跃安装受到影响。

用法

pip install requests
python3 poc.py https://target.com contributor p4ss

该脚本通过 HTTP 进行身份验证，将注入有效载荷存储为自定义字段名称，触发 Happy Clone 操作，并从克隆文章的元字段中读取泄露的哈希。输出保存到 hash.txt。

hashcat -m 400 hash.txt rockyou.txt

完整文章

https://folks-iwd.github.io/writeups/cve-2025-68999.html

披露时间线

补丁

weDevs 将整个手写的 INSERT 替换为：

foreach ( $entries as $entry ) {
    update_post_meta( $duplicated_post_id, $entry->meta_key, $entry->meta_value );
}

update_post_meta() 内部调用 $wpdb->update()，并对键和值都使用预处理语句。