漏洞

duplicate_meta_entries()（位于 classes/clone-handler.php）通过手写的批量 INSERT 将文章 meta 行复制到克隆文章中。它使用 $wpdb->prepare() 安全地获取行，但随后将 $entry->meta_key 直接拼入 SQL 字符串而未转义：

由于 meta_key 来自数据库，代码将其视为可信数据。但贡献者可以通过自定义字段面板设置任意字段名——因此他们可以控制该列中的内容。

攻击分两步：

1. 写入： 将恶意字符串存储为自定义字段名。add_post_meta() 会安全地处理此操作——payload 落入数据库而不会执行任何操作。
2. 触发： 单击 Happy Clone。duplicate_meta_entries() 读回该键并将其拼接进原始 INSERT。MySQL 执行注入的子查询。

静态分析之所以无法发现，是因为危险数据的来源是数据库读取（$wpdb->get_results()），而污点分析引擎会将其标记为已净化。存储边界打破了污点链。

影响

任何贡献者都可以提取：

• 所有用户的密码哈希（离线破解——hashcat 模式 400）
• WordPress 密钥 / 盐（伪造持久认证 cookie）
• wp_options 中的任意行（API 密钥、支付凭据）
• 私有文章内容

在披露时，超过 40 万个活跃安装受影响。

用法

脚本通过 HTTP 进行身份验证，将注入 payload 存储为自定义字段名，触发 Happy Clone 操作，并从克隆文章的 meta 字段中读取泄露的哈希。输出保存到 hash.txt。

完整分析

https://folks-iwd.github.io/writeups/cve-2025-68999.html

披露时间线

修复补丁

weDevs 用以下代码替换了整个手写 INSERT：

update_post_meta() 内部调用 $wpdb->update()，使用预处理语句处理键和值。