Product Filter by WBW <= 2.9.7 - Unauthenticated SQL Injection 漏洞信息(CVE-2025-8416)

一、漏洞 CVE-2025-8416 基础信息

AIGC 神龙大模型
美国国家漏洞数据库 NVD

漏洞信息

                                        # WBW产品 2.9.7 未认证SQL注入漏洞

## 概述

Product Filter by WBW 插件的 **`filtersDataBackend`** 参数存在 SQL 注入漏洞。

## 影响版本

所有 **2.9.7 及之前版本** 的 Product Filter by WBW WordPress 插件。

## 漏洞细节

由于未对用户输入的 `filtersDataBackend` 参数进行充分转义，且 SQL 查询未进行适当预处理，攻击者可利用该漏洞向现有 SQL 查询中注入恶意 SQL 语句。

## 影响

攻击者可借此从数据库中**提取敏感信息**，且**无需身份验证**即可实施攻击。

提示

尽管我们采用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。
神龙会尽力确保数据准确，但也请结合实际情况进行甄别与判断。
神龙祝您一切顺利！

漏洞标题

Product Filter by WBW <= 2.9.7 - Unauthenticated SQL Injection

来源：美国国家漏洞数据库 NVD

漏洞描述信息

The Product Filter by WBW plugin for WordPress is vulnerable to SQL Injection via the 'filtersDataBackend' parameter in all versions up to, and including, 2.9.7. This is due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for unauthenticated attackers to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.

来源：美国国家漏洞数据库 NVD

CVSS信息

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

来源：美国国家漏洞数据库 NVD

漏洞类别

SQL命令中使用的特殊元素转义处理不恰当(SQL注入)

来源：美国国家漏洞数据库 NVD

二、漏洞 CVE-2025-8416 的公开POC

#	POC 描述	源链接	神龙链接

三、漏洞 CVE-2025-8416 的情报信息

标题： Product Filter by WBW <= 2.9.7 - Unauthenticated SQL Injection -- 🔗来源链接

标签：
神龙速读
标题： mod.php in woo-product-filter/tags/2.8.6/modules/woofilters – WordPress Plugin Repository -- 🔗来源链接

标签：
神龙速读
标题： controller.php in woo-product-filter/tags/2.8.6/modules/woofilters – WordPress Plugin Repository -- 🔗来源链接

标签：
神龙速读
标题： Changeset 3370655 for woo-product-filter – WordPress Plugin Repository -- 🔗来源链接

标签：
神龙速读
https://nvd.nist.gov/vuln/detail/CVE-2025-8416