ELEX WooCommerce 插件 1.4.3 发现严重 SQL 注入漏洞

ELEX WooCommerce 插件发现严重 SQL 注入漏洞

安全研究人员近日披露，ELEX WooCommerce WordPress 插件 1.4.3 版本存在严重 SQL 注入（SQLi）漏洞，攻击者可通过该漏洞在易受攻击的电商网站上执行任意 SQL 查询。该漏洞被追踪为 Exploit-DB ID 52430，对使用受影响插件的 WordPress 网站构成重大安全风险。

技术细节

该漏洞源于插件代码中输入验证不足及缺乏预编译语句（prepared statements），使未经身份验证的攻击者能够通过精心构造的 HTTP 请求注入恶意 SQL 查询。成功利用该漏洞可能导致：

• 未经授权的数据库访问
• 敏感客户数据泄露（如支付信息、个人身份信息 PII）
• 通过数据库操纵实现网站完全接管

截至披露时，该漏洞尚未分配 CVE ID，但相关利用代码已在 Exploit-DB 上公开，增加了修复的紧迫性。

影响分析

ELEX WooCommerce 插件广泛用于增强 WordPress 电商网站的功能，包括支付处理、运费计算及订单管理。一旦遭受 SQL 注入攻击，可能造成以下后果：

• 数据泄露：客户记录外泄
• 合规处罚：违反 GDPR、CCPA 等数据保护法规
• 声誉损害：客户信任流失
• 金融欺诈：支付数据被窃取后的财务损失

缓解建议

安全团队及 WordPress 管理员应立即采取以下措施：

1. 更新插件：确认供应商是否已发布修复版本（1.4.3 之后），并立即更新。
2. 禁用插件：若无修复版本，暂时禁用插件直至修复程序发布。
3. 监控攻击：检查 Web 服务器日志，查找可疑 SQL 注入模式（如异常查询字符串、UNION 攻击）。
4. 部署 WAF 规则：使用 Web 应用防火墙（WAF）阻止针对漏洞端点的 SQL 注入尝试。
5. 审计数据库访问：检查数据库日志中是否存在未经授权的查询或修改。

更多详情，请参阅 Exploit-DB 上的原始漏洞利用验证代码。

保持警惕：未修补的 WordPress 插件仍是攻击者利用已知漏洞的主要目标。