권고 (소스 맵에서 발췌)

PHP 객체 주입은 create_order의 checkout owner 메타데이터에 대한 maybe_unserialize이며, ajax action=이 아니다. HTTP는 cart + process-payment 페이지이다. PHP 메서드 이름은 action=이 아니다.

진입점

• 메서드: POST
• 경로: /cart/
• 라우터: 인증되지 않은 cart POST (wp_loaded / admin_post_nopriv_tickera_cart의 update_cart). Nonce action은 tickera_cart_page. 그런 다음 free_orders process_payment가 tc_payment_submit와 함께 /process-payment/로 POST. create_order가 owner *_post_meta를 maybe_unserialize()한다.
• 참고: CVE-2026-82226 CWE-502: Tickera 3.6.0.2의 create_order가 참석자 owner_data *post_meta를 maybe_unserialize()한다 (tickera.php ~3919). 3.6.0.3은 is_serialized() owner 필드를 거부하고 tickera_sanitize_array는 allowed_classes=>false를 사용한다. 랩 시드: 공개된 이벤트 + 무료 tc_tickets, show_owner_fields=yes, 카나리 클래스 POCWitness82226, 공개 페이지 슬러그 tc-lab-nonce에 TICKET_ID= CART_NONCE= COOKIEHASH=. Cart 쿠키 tc_cart{COOKIEHASH}는 JSON {ticket_id:1}이다. Witness는 HTTP 본문 또는 debug.log에 있는 POCWitness82226이며 셸이 아니다. 클래스 이름이 15자이므로 페이로드는 O:16:이 아니라 O:15:이다.

호출 체인

• GET /tc-lab-nonce/ → TICKET_ID CART_NONCE COOKIEHASH
• Set cookie tc_cart_{COOKIEHASH}={ticket_id:1}
• POST /cart/ cart_action=proceed_to_checkout + nonce + owner_data_first_name_post_meta[id][0]=serialized object
• TC::update_cart → save_cart_post_data stores owner_data in session
• POST /process-payment/ tc_payment_submit (free_orders permanently_active, total 0)
• TC_Gateway_Free_Orders::process_payment → TC::create_order → maybe_unserialize(owner *_post_meta)

랩 사전 조건

• tickera-event-ticketing-system 3.6.0.2가 활성화된 WordPress
• 공개된 tc_events + tc_tickets price_per_ticket=0, event_name=event id
• owner_data *_post_meta가 허용되도록 show_owner_fields=yes
• 슬러그 tc-lab-nonce에 공개 TICKET_ID= CART_NONCE= COOKIEHASH=
• 랩 mu-plugin 카나리 클래스 POCWitness82226 (wakeup/destruct가 이름을 로그에 기록; 가젯 체인 아님)

Witness

응답 또는 debug.log에 POCWitness82226이 포함됨 (unserialize 중에 클래스가 인스턴스화됨). 테마 HTML, 잘못된 cart nonce, 또는 빈 cart는 객체 주입 witness가 아니다.

성공이 아닌 경우

• 일반적인 200 hello world HTML
• 잘못된 cart 요청
• The cart is empty
• All fields marked with * are required
• unserialize / 클래스 인스턴스화 없이 status success
• 리버스 셸 또는 아웃바운드 연결

패치 / 완화

먼저 이것을 하세요: Tickera를 3.6.0.3 이상으로 업데이트하세요.

업그레이드 후 검증

• 패치된 빌드에 대해 CVE-2026-82226-Abraxas-Labs.py를 다시 실행하세요: 매핑된 witness가 나타나지 않아야 합니다.
• 배포된 트리에서 벤더 권고 / 변경 집합을 확인하세요 (참조 참조).
• WAF 시그니처는 지연이지 패치가 아닙니다.

즉시 업데이트할 수 없는 경우

• 영향을 받는 구성 요소를 비활성화하거나 격리하세요.
• 프로덕션에서 witness 조건을 탐색하세요 (새로운 권한 사용자, 예상치 못한 파일, 주입된 행 — 이 CVE의 맵이 명시하는 모든 것).

재현 (승인된 랩)

오직 http://127.0.0.1:8088 (또는 바인딩한 루프백)만 대상으로 하세요. 이 스크립트를 인터넷을 향해 지정하지 마세요.

성공은 응답 본문에 위의 witness가 있는 것입니다. 일반적인 200 HTML은 아닙니다.

랩 이미지

재현에 사용된 루프백 스택. 이 폴더의 Dockerfile이 소스에서 빌드하지 않는 한 공식 이미지입니다.

• lab/docker-compose.yml
• lab/docker-compose.override.yml
• lab/Dockerfile

YAML이 로컬 디렉터리를 마운트하는 경우 (버전 테이블의 플러그인 zip / 소스 태그) Compose 옆에 취약한 제품 트리를 바인딩하세요. 127.0.0.1 외에는 아무것도 게시하지 마세요.

참조

• CVE-2026-82226 · NVD

• CVE-2026-82226 · CVE.org

• patchstack.com/database/wordpress/plugin/tickera-event-ticketing-system/vulnerability/wordpress-tickera-plugin-3-6-0-2-php-object-injection-vulnerability?_s_id=cve

• github.com/advisories/GHSA-v3jw-vq2p-6xp9

• nvd.nist.gov/vuln/detail/CVE-2026-82226

• 플러그인 디렉터리: tickera-event-ticketing-system

• Trac 브라우저: plugins.trac.wordpress.org/tickera-event-ticketing-system

• SVN 태그: plugins.svn.wordpress.org/tickera-event-ticketing-system

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

레코드 (구조화됨)

면책 조항

이 패키지는 벤더, 사이트 소유자, 라이선스된 랩을 위한 것입니다. 스크립트는 127.0.0.1과 통신합니다. 소유하지 않은 시스템에 사용하는 것은 Abraxas Labs에 의해 승인되지 않습니다. 보증 없음.

abraxaslabs.tech · github.com/abraxas · @abraxas_null