CVE-2025-10037

چکیده

آسیب‌پذیری در پلاگین Featured Image from URL (FIFU) برای وردپرس نسخه‌های 5.2.7 و پایین‌تر به دلیل عدم فرار مناسب (insufficient escaping) پارامتر ارسالی توسط کاربر و عدم آماده‌سازی کافی در کوئری SQL موجود در تابع get_posts_with_internal_featured_image() است که امکان تزریق SQL را فراهم می‌کند. این ضعف به مهاجمان احراز هویت‌شده با سطح دسترسی administrator یا بالاتر اجازه می‌دهد کوئری‌های SQL اضافی را به کوئری‌های موجود اضافه کرده و اطلاعات حساس از پایگاه داده (database) استخراج کنند.

توضیحات

آسیب‌پذیری CVE-2025-10037 در پلاگین Featured Image from URL (FIFU) که امکان استفاده از تصاویر از آدرس‌های اینترنتی را به‌عنوان تصویر شاخص (featured image) فراهم می‌کند، ناشی از عدم فرار (insufficient escaping) مناسب پارامتر ورودی کاربر و آماده‌سازی ناقص کوئری SQL در تابع get_posts_with_internal_featured_image() است و مطابق با CWE-89 طبقه‌بندی می‌شود.

این ضعف در همه نسخه‌های 5.2.7 و پایین‌تر وجود دارد و به کاربران احراز هویت‌شده با سطح دسترسی Administrator یا بالاتر اجازه می‌دهد با تزریق الگوهای خاص به کوئری‌های موجود، کوئری‌های دلخواه را به پایگاه داده اضافه کرده و اطلاعات حساس را استخراج کنند.

بهره‌برداری از این ضعف از طریق شبکه، با پیچیدگی پایین و بدون نیاز به تعامل کاربران عادی ممکن است اما مهاجم باید دسترسی ادمین داشته باشد. پیامد اصلی، نقض شدید محرمانگی است که در بدترین سناریو می‌تواند منجر به سرقت کامل داده‌ها (full data breach) و حملات بعدی مانند سرقت هویت یا دسترسی غیرمجاز به حساب‌ها شود.

توسعه‌دهندگان پلاگین این آسیب‌پذیری را در نسخه 5.2.8 (changeset 3362830) پچ کرده‌اند؛ اصلاحات شامل بهبود فرار (escaping) ورودی‌ها و استفاده از روش‌های مناسب آماده‌سازی (prepared statements) برای کوئری‌های SQL است.

CVSS

 لیست محصولات آسیب پذیر

لیست محصولات بروز شده

 استفاده محصول در ایران

در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که پلاگین Featured Image From URL را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.

 نتیجه گیری

این آسیب‌پذیری در پلاگین Featured Image from URL (FIFU)، به دلیل امکان تزریق SQL توسط کاربران با دسترسی administrator، تهدیدی قابل توجه برای سایت‌های وردپرسی ایجاد می‌کند که می‌تواند منجر به سرقت اطلاعات حساس از پایگاه داده شود. برای کاهش ریسک و جلوگیری از بهره‌برداری، اقدامات زیر توصیه می‌شود:

• به‌روزرسانی فوری: پلاگین Featured Image from URL (FIFU) را به نسخه 5.2.8 یا بالاتر به‌روزرسانی کنید تا اصلاحات مربوط به فرار (escaping) و آماده‌سازی (preparation) کوئری‌های SQL اعمال شود. (changeset 3362830)
• محدودسازی دسترسی administrator: دسترسی administrator را فقط به کاربران قابل اعتماد اعطا کرده و از احراز هویت چندعاملی (MFA) استفاده نمایید.
• اعتبارسنجی ورودی: تمام پارامترهای ورودی را قبل از ورود به کوئری‌های SQL اعتبارسنجی (validate) و پاک‌سازی (sanitize) کنید.
• نظارت بر پایگاه داده: لاگ‌های SQL را برای شناسایی کوئری‌های مشکوک بررسی کنید.
• استفاده از پلاگین های امنیتی: از فایروال‌های وردپرس مانند Wordfence یا Sucuri برای مسدود کردن حملات SQL Injection استفاده کنید.
• پشتیبان‌گیری: از پایگاه داده (database) نسخه پشتیبان تهیه کرده و رمزنگاری داده‌های حساس را فعال کنید.
• آموزش کاربران: مدیران سایت را در مورد ریسک SQL Injection و اهمیت به‌روزرسانی پلاگین های آگاه کنید.

اجرای این اقدامات، ریسک سرقت داده را به حداقل رسانده و امنیت سایت‌های وردپرسی را در برابر ضعف‌های پلاگین های مدیریت تصویر تقویت می‌کند.

امکان استفاده در تاکتیک های Mitre Attack

Initial Access (TA0001)
ورود اولیه از طریق دسترسی احراز هویت‌شده‌ی ادمین به پنل وردپرس انجام می‌شود. مهاجم پس از به‌دست‌آوردن یا سوء‌استفاده از حساب مدیریتی credential stuffing، فیشینگ یا حساب‌های از پیش در دسترس) می‌تواند پارامترهای تابع آسیب‌پذیر get_posts_with_internal_featured_image()  را با payload حاوی الگوهای SQL  تزریقی ارسال کند.

Execution (TA0002)
تزریق SQL در کوئری آماده‌نشده به مهاجم امکان اجرای کوئری‌های دلخواه روی پایگاه‌داده را می‌دهد؛ در عمل این به‌معنی اجرای دستورات SELECT/UNION/stacked queries برای خواندن یا ترکیب داده‌ها است که می‌تواند منجر به استخراج داده حساس یا تزریق رکوردهای مخرب شود.

Persistence (TA0003)
مهاجم می‌تواند از طریق اجرای کوئری‌های INSERT/UPDATE کاربران اداری جدید ایجاد کند، نقش‌ها را تغییر دهد یا مقادیر در wp_options  را دستکاری کند تا  backdoorهای پایداری مثل URL بارگذاری خارجی یا plugin hidden  برقرار شود و پس از پاک‌سازی ساده دسترسی حفظ شود.

Privilege Escalation (TA0004)
با استخراج هش‌ها یا توکن‌ها از جداول دیتابیس، مهاجم می‌تواند اعتبارنامه‌های بیش‌تری به‌دست آورد FTP، پنل‌هاست، API  و در صورت وجود misconfiguration به سطوح بالاتر سیستم‌عامل یا سرویس‌ها ارتقاء یابد؛ به‌ویژه اگر همان credentialها در سرویس‌های دیگر هم استفاده شوند.

Defense Evasion (TA0005)
برای پنهان‌سازی، مهاجم می‌تواند استخراج داده را به‌صورت تدریجی (chunked/slow) انجام دهد، نتایج را در جداول مخفی ذخیره کند یا رکوردهای لاگ مرتبط را هدف قرار دهد/حذف کند تا تشخیص فعالیت دشوار شود.

Credential Access (TA0006)
تزریق موفق می‌تواند منجر به خواندن رکوردهای wp_users  و استخراج hash رمزها، توکن‌های API و اطلاعات پیکربندی ذخیره‌شده شود؛ این داده‌ها منبع اصلی برای حملات بعدی و دسترسی به سیستم‌های دیگر هستند.

Discovery (TA0007)
مهاجم با کوئری‌های هدفمند می‌تواند ساختار دیتابیس، وجود پلاگین‌ها/تم‌ها، مسیرهای آپلود و داده‌های حساس را شناسایی کند تا برد حمله را گسترش دهد و مسیرهای ماندگاری یا exfil را بیابد.

Lateral Movement (TA0008)
با استفاده از credentialها یا توکن‌های استخراج‌شده، مهاجم می‌تواند به سرویس‌های داخلی دیگر وصل شود پنل‌هاست، FTP، SSH  یا  APIو از طریق pivoting نفوذ را به سرورهای دیگر یا محیط‌های دیتابیس توسعه دهد.

Collection (TA0009)
هدف‌گیری اطلاعات شامل wp_users  هش‌ها، ایمیل‌ها،wp_options ، توکن‌ها، URLها، جداول سفارش/تراکنش است؛ مهاجم معمولاً داده‌ها را با کوئری‌های هدفمند و فیلترشده جمع‌آوری می‌کند.

Impact (TA0040)
پیامد اصلی افشای اطلاعات (Information Disclosure) است که می‌تواند به نقض گسترده داده‌ها، سرقت هویت، دسترسی غیرمجاز به سرویس‌ها و آسیب به محرمانگی و یکپارچگی منجر شود. همچنین تغییر کاربران و تنظیمات می‌تواند باعث تأثیرات بلندمدت خدمات و نیاز به بازسازی کامل سایت گردد.

منابع

1. https://www.cve.org/CVERecord?id=CVE-2025-10037
2. https://www.cvedetails.com/cve/CVE-2025-10037/
3. https://www.wordfence.com/threat-intel/vulnerabilities/id/54c1b0e9-6fab-4452-b232-953e671f4d8d?source=cve
4. https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-10037
5. https://vuldb.com/?id.325907
6. https://plugins.trac.wordpress.org/browser/featured-image-from-url/trunk/admin/db.php?rev=3348285
7. https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3362830%40featured-image-from-url&new=3362830%40featured-image-from-url&sfp_email=&sfph_mail=
8. https://nvd.nist.gov/vuln/detail/CVE-2025-10037
9. https://cwe.mitre.org/data/definitions/89.html