CVE-2025-8416

چکیده

آسیب‌پذیری تزریق SQL (SQL Injection) بدون احراز هویت در پلاگین Product Filter by WBW برای وردپرس در تا نسخه‌ 2.9.7 از طریق پارامتر filtersDataBackend رخ می دهد. این ضعف ناشی از خروجی سازی (escaping) ناکافی ورودی کاربر و عدم استفاده از کوئری‌های پارامتری (prepared statements) است و به مهاجم ناشناس اجازه می دهد کوئری‌های SQL دلخواه را به کوئری‌های موجود تزریق کند و اطلاعات حساس پایگاه داده را استخراج نماید.

توضیحات

آسیب‌پذیری CVE-2025-8416 از نوع خنثی سازی نادرست المنت های خاص در دستورات SQL و به عبارتی SQL Injection مطابق با CWE-89 است که در پلاگین Product Filter by WBW برای وردپرس رخ می‌دهد. این پلاگین که توسط woobewoo توسعه داده شده، یکی از پلاگین‌های پرکاربرد برای فیلتر کردن محصولات در فروشگاه‌های مبتنی بر WooCommerce است و با استفاده از مکانیزم AJAX، داده‌های فیلتر(Filter Data) را از طریق پارامترهایی مانند filtersDataBackend به backend ارسال می‌کند؛ همین ویژگی باعث شده این پارامتر به نقطه‌ی ورود اصلی حمله تبدیل شود. این ضعف در تمامی نسخه‌های تا 2.9.7 وجود دارد و از طریق همین پارامتر قابل بهره‌برداری است.

در فایل‌های modules/woofilters/controller.php (خط 136) و modules/woofilters/mod.php (خط 2056)، مقادیر ارسالی کاربر بدون هیچ‌گونه خروجی‌سازی (escaping) یا استفاده از کوئری‌های پارامتری (prepared statements) مستقیماً وارد کوئری SQL می‌شوند. این موضوع امکان تزریق ورودی مخرب و تغییر ساختار کوئری را فراهم می‌کند و مهاجم می‌تواند داده‌های دلخواه را از جدول های پایگاه داده استخراج نماید. بهره‌برداری از این آسیب‌پذیری بسیار ساده، قابل خودکارسازی بوده و بدون نیاز به احراز هویت، از راه دور و بدون تعامل کاربر انجام می شود. پیامد اصلی این ضعف تاثیر بالا بر محرمانگی است و در سناریوهای واقعی می‌تواند منجر به افشای کامل داده‌های پایگاه داده شود. این ضعف در نسخه 2.9.8 با اعمال خروجی‌سازی صحیح ورودی و بازنویسی امن کوئری‌ها پچ شده است (Changeset 3370655).

 CVSS

لیست محصولات آسیب پذیر

لیست محصولات بروز شده

استفاده محصول در ایران

در این جدول، تعداد صفحات ایندکس‌شده در گوگل با دامنه .ir که woo product filter و woobewoo را ذکر کرده اند، ثبت شده است. این داده صرفاً برای برآورد تقریبی حضور محصولات در وب ایران استفاده شده و نمایانگر میزان نصب دقیق و استفاده واقعی نیست.

نتیجه گیری

این آسیب‌پذیری با شدت بالا از نوع SQL Injection بدون احراز هویت در پلاگین پرکاربرد Product Filter by WBW برای وردپرس است و امکان استخراج کامل اطلاعات حساس پایگاه داده را برای مهاجم فراهم می‌کند. با توجه به انتشار پچ امنیتی، اجرای فوری اقدامات زیر توصیه می‌شود:

• به‌روزرسانی فوری: تمامی سایت‌های وردپرسی که از این پلاگین استفاده می‌کنند باید بلافاصله به نسخه 9.8 یا جدیدتر به روزرسانی شوند. این اقدام، مؤثرترین و قطعی‌ترین راهکار برای رفع آسیب‌پذیری است و باید در اولویت قرار گیرد. سایر اقدامات نقش مکمل را دارند و می‌توانند به کاهش ریسک این آسیب پذیری و مقابله با حملات مشابه کمک کنند.
• غیرفعال‌سازی موقت (در صورت عدم امکان به‌روزرسانی فوری): تا زمان به‌روزرسانی، پلاگین را غیرفعال کنید تا سطح حمله کاهش یابد.
• استفاده از فایروال اپلیکیشن وب کاربردی (WAF): ماژول‌های جلوگیری از SQL Injection در WAFهایی مانند Wordfence، Cloudflare، Sucuri یا ModSecurity برای مسدودسازی پیلودهای مشکوک را فعال کنید.
• محدودسازی دسترسی AJAX: در صورت امکان، اندپوینت های AJAX پلاگین را تنها برای کاربران احراز هویت‌شده در دسترس قرار دهید یا از مکانیزم هایی مانند توکن یک بار مصرف (nonce) و CSRF protection قوی‌تر استفاده کنید.
• مانیتورینگ لاگ‌ها: لاگ‌های وب‌سرور و پایگاه داده برای شناسایی تلاش‌های مشکوک SQL Injection مانند وجود کاراکترهای مشکوک در پارامتر filtersDataBackend را بررسی کنید.
• اسکن امنیتی دوره‌ای: از ابزارهایی مانند WPScan، Wordfence Scan یا Nessus برای شناسایی نسخه‌های قدیمی و آسیب‌پذیر پلاگین ها استفاده کنید.
• پشتیبان‌گیری منظم: همواره از آخرین نسخه پایگاه داده و فایل‌ها نسخه پشتیبان تهیه کنید تا در صورت وقوع هرگونه سوءاستفاده، بازیابی سریع امکان پذیر باشد.

اجرای سریع به‌روزرسانی، همراه با فعال‌سازی WAFو مانیتورینگ دقیق، ریسک بهره‌برداری از این آسیب‌پذیری را به حداقل رسانده و امنیت فروشگاه‌های مبتنی بر WooCommerce را به‌طور قابل‌توجهی افزایش می‌دهد.

امکان استفاده در تاکتیک های Mitre Attack

Initial Access (TA0001)

مهاجم از طریق پارامتر ‌filtersDataBackend در اندپوینت AJAX که بدون احراز هویت در دسترس است، ورودی مخرب را تزریق می‌کند. این نقطه ورود، سطح دسترسی صفر می‌خواهد و اجازه می‌دهد مهاجم با یک درخواست ساختگی، کوئری را دست‌کاری و اجرای SQL دلخواه را آغاز کند؛ این گام، ورودی مستقیم برای دسترسی اولیه به داده‌های داخلی پایگاه داده است.

Execution (TA0002)

تزریق موفق SQL امکان اجرای کوئری‌های دلخواه روی پایگاه داده را فراهم می‌کند. این اجرا در لایه اپلیکیشن رخ می‌دهد و مهاجم می‌تواند SELECTهای سفارشی برای استخراج داده یا UNION-Injection برای تجمیع خروجی اجرا کند.

Credential Access (TA0006)

در صورت وجود جدول‌هایی که شامل هش رمز عبور، توکن‌های نشست یا اطلاعات کاربران هستند، مهاجم می‌تواند با SELECTهای مستقیم این داده‌ها را استخراج کند. این تاکتیک زمانی فعال می‌شود که مهاجم بخواهد از داده‌های ربوده‌شده برای ورود واقعی سوءاستفاده کند.

Discovery (TA0007)

با اجرای چندین کوئری اطلاعاتی، مهاجم قادر است ساختار پایگاه داده، جدول‌ها، ستون‌ها و نوع داده‌ها را شناسایی کند. این شناسایی پایه طراحی حملات بعدی مثل استخراج هدفمند داده یا pivoting منطقی در سطح اپلیکیشن است.

Collection (TA0009)

تزریق موفق SQL به مهاجم امکان جمع‌آوری داده‌های حساس را می‌دهد؛ شامل اطلاعات کاربران، سفارشات، تنظیمات پلاگین‌ها یا API keys ذخیره‌شده. این استخراج معمولاً به‌صورت رشته‌ای یا JSON انجام می‌شود و به‌راحتی قابل خودکارسازی است.

Exfiltration (TA0010)

داده‌های ربوده‌شده از طریق پاسخ HTTP همان درخواست AJAX، مستقیماً به مهاجم برمی‌گردد. مسیر خروج داده نیازی به کانال جایگزین ندارد و انتقال داده بدون پیچیدگی انجام می‌شود.

Impact (TA0040)

این SQL Injection در بردار فعلی روی محرمانگی اثر بالا دارد، اما در صورت تزریق دستورات مخرب‌تر (مثل تغییر رکوردها یا حذف داده) می‌تواند به یک حمله تخریبی تبدیل شود. با این حال طبق بردار رسمی، تأثیر اصلی افشای اطلاعات و compromise پایگاه داده است.

منابع

1. https://www.cve.org/CVERecord?id=CVE-2025-8416
2. https://www.cvedetails.com/cve/CVE-2025-8416/
3. https://www.wordfence.com/threat-intel/vulnerabilities/id/d1533e9a-dcb9-4fbb-a1a7-7f4dafd3a1c8?source=cve
4. https://vulmon.com/vulnerabilitydetails?qid=CVE-2025-8416
5. https://vuldb.com/?id.329843
6. https://plugins.trac.wordpress.org/browser/woo-product-filter/tags/2.8.6/modules/woofilters/mod.php#L2056
7. https://plugins.trac.wordpress.org/browser/woo-product-filter/tags/2.8.6/modules/woofilters/controller.php#L136
8. https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3370655%40woo-product-filter&new=3370655%40woo-product-filter&sfp_email=&sfph_mail
9. https://nvd.nist.gov/vuln/detail/CVE-2025-8416
10. https://cwe.mitre.org/data/definitions/89.html