WordPress Core SQL注入缝隙(CVE-2022–21661)分析

颁布功夫 2022-01-25

缝隙概述


WordPress是目前全球盛行的三大内容治理系统之一，，其主题�？？椋–ore）出现缝隙的情况相对较少。。。近期，，WordPress主题�？？楸慌洞嬖谝淮QL注入缝隙(CVE-2022–21661)。。。针对该高危缝隙，，OG东方厅ADLab钻研员第一功夫进行了具体分析和验证。。。


受影响版本


受影响版本：：WordPress < 5.8.3


缝隙分析


通过比力github上的源代码，，能够发现缝隙的地位是clean_query函数。。。在5.8.2及之前的老版本中，，该函数的关键代码如下。。。


代码如下.png


在clean_query函数中，，当传递进来的$query满足以下两个前提：：

$query['taxonomy']为空；；

$query['filed']的值等于term_taxonomy_id。。。


WordPress的执行就会进入580行，，挪用transform_query函数。。。跟进该函数，，满足602行，，不做任何措施直接return，，维持了terms的值不受扭转。。。


代码如下.png


全局搜索clean_query，，其被get_sql_for_clause函数挪用。。。阅读该步骤的代码可知，，它的职能是为sql查问中的前提创建子句。。。具体来说，，它的工作是处置接管到的数据，，将这些数据组合成SQL 查问中的前提，，而后将其返回给父函数。。。所以，，若是能够节制clean_query的返回数据，，就能够节制SQL查问进行注入。。。


在get_sql_for_clause中能够找到$terms变量被拼接到sql语句中。。。


代码如下.png


从get_sql_for_clause步骤持续回溯，，挪用栈如下：：


代码如下.png


在get_posts()中能够找到对WQ_Tax_Query->get_sql()的挪用。。。


代码如下.png


通过回溯挪用栈可知，，通过节制WP_Query->__construct()中的属性，，就能够造成sql注入。。。


缝隙复现


通过度析WordPress的源码发现，，WordPress主题代码中不存在能够触发该缝隙的挪用点。。。为了验证该缝隙，，这里使用了Ele Custom Skin插件做缝隙复现，，这也是ZDI给出的存在产生缝隙挪用的插件样例。。。


EleCustom Skin插件装置量在10万以上，，且其存在的缝隙挪用是无需登录的。。。该插件存在步骤get_document_data()，，其主题代码如下：：


代码如下.png

代码如下.png 

全局搜索get_document_data，，该步骤被注册的action名字如下。。。


代码如下.png


因而，，该缝隙在这个插件是存在触发蹊径的。。�？？鬱ebug职能后，，机关报文即可成功注入出数据库user。。。


代码如下.png


盛行插件分析


为了分析该缝隙的现实影响，，ADLab钻研员还对WordPress前100个盛行插件进行了分析，，发现其中2个插件也存在该缝隙。。。


开启debug，，机关报文即可成功注入出数据库user。。。


修复规划


目前WordPress已颁布升级补丁以修复缝隙，，补丁获取链接如下：：


https://github.com/WordPress/wordpress-develop/security/advisories/GHSA-6676-cqfm-gw84


参考链接：：

https://www.zerodayinitiative.com/blog/2022/1/18/cve-2021-21661-exposing-database-info-via-wordpress-sql-injection