Wordpress 2.2 (xmlrpc.php) Remote SQL Injection Exploit

[kw3rln]

/*

El error, bastante tonto por cierto, se encuentra en la función wp_suggestCategories, en el archivo xmlrpc.php:

function wp_suggestCategories($args) {

global $wpdb;

$this->escape($args);

$blog_id = (int) $args[0];

$username = $args[1];

$password = $args[2];

$category = $args[3];

$max_results = $args[4];

if(!$this->login_pass_ok($username, $password)) {

return($this->error);

}

// Only set a limit if one was provided.

$limit = "";

if(!empty($max_results)) {

$limit = "LIMIT {$max_results}";

}

$category_suggestions = $wpdb->get_results("

SELECT cat_ID category_id,

cat_name category_name

FROM {$wpdb->categories}

WHERE cat_name LIKE '{$category}%'

{$limit}

");

return($category_suggestions);

}

Como se puede observar en la porción de código, no se hace una conversión a entero del valor de $max_results, por lo que es posible enviar valores del tipo 0 UNION ALL SELECT user_login, user_pass FROM wp_users. Para que un atacante logre su objetivo, es necesario que éste tenga una cuenta de usuario válida (una cuenta de tipo suscriber basta y sobra) en el sitio víctima.

Preparé un peque