WordPress eDoc Easy Tables插件SQL注入漏洞分析 (CVE-2025-22519)

漏洞概述

eDoc Intelligence LLC开发的WordPress插件eDoc Easy Tables在1.2.6及以下版本中存在SQL注入漏洞。该漏洞源于插件在处理用户输入时未正确过滤特殊字符，导致攻击者可以构造恶意SQL语句并执行。

受影响版本

• eDoc Easy Tables插件 <= 1.2.6
• 测试环境WordPress版本：6.7.1

漏洞成因

漏洞位于edoc-tables.php文件中的edoc_wpet_edit_tables_page()函数。该函数中table_id参数未经过滤直接拼接进SQL查询语句，导致SQL注入。

关键问题点：

1. table_id参数完全可控
2. 用户输入未经过任何过滤或转义
3. 恶意输入被直接拼接到SQL语句中执行
4. 注入点会被执行两次（导致时间型注入时延加倍）

漏洞验证

验证方法

1. 时间型盲注验证：

   • 构造包含sleep(3)的payload
   • 由于注入点被执行两次，实际延迟应为6秒

2. 请求示例：

GET /wp-admin/admin.php?page=dp-table-admin&table-id=1&actions=delete&delete=c8c1f04952 HTTP/1.1
Host: 127.0.0.1
Upgrade-Insecure-Requests: 1
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/avif,image/webp,image/apng,*/*;q=0.8,application/signed-exchange;v=b3;q=0.7
Accept-Encoding: gzip, deflate, br
Accept-Language: zh-CN,zh;q=0.9
Connection: keep-alive

漏洞利用

利用条件

1. 需要管理员权限或能够访问/wp-admin/admin.php路径
2. 需要知道有效的delete参数值（示例中为c8c1f04952）

利用步骤

1. 确定目标网站使用易受攻击的插件版本
2. 构造恶意请求，在table-id参数中注入SQL代码
3. 发送请求并观察响应或延迟情况

示例Payload

1. 基础注入：

table-id=1 AND 1=1
table-id=1 AND 1=2

2. 时间型盲注：

table-id=1 AND IF(1=1,SLEEP(3),0)

3. 数据提取：

table-id=1 UNION SELECT user(),database(),version()

修复建议

1. 升级到最新版本的eDoc Easy Tables插件

2. 临时修复方案：

   • 修改edoc-tables.php文件，对table_id参数进行严格过滤
   • 使用WordPress提供的$wpdb->prepare()函数预处理SQL语句
   • 添加权限检查，确保只有授权用户可以访问相关功能

3. 代码修复示例：

// 不安全的方式
$table_id = $_GET['table-id'];
$sql = "SELECT * FROM {$wpdb->prefix}edoc_wpet_tables WHERE id = $table_id";

// 修复后的安全方式
$table_id = intval($_GET['table-id']); // 强制转换为整数
$sql = $wpdb->prepare("SELECT * FROM {$wpdb->prefix}edoc_wpet_tables WHERE id = %d", $table_id);

总结

该SQL注入漏洞由于直接使用未过滤的用户输入构造SQL查询而导致。开发人员应始终：

1. 对所有用户输入进行验证和过滤
2. 使用参数化查询或预处理语句
3. 遵循最小权限原则
4. 定期更新插件和核心系统

对于系统管理员，建议定期检查并更新所有插件，移除不再使用的插件，并监控系统日志中的可疑活动。