MDJM Event Management <= 1.7.8.3 - 인증된 (관리자+) 'mdjm_email_upload_file' 매개변수를 통한 임의 파일 업로드

WordPress MDJM Event Management 플러그인(버전 1.7.8.3 및 이전)에는 인증된 관리자가 악성 PHP 파일을 서버에 업로드하여 잠재적으로 원격 코드 실행으로 이어질 수 있는 임의 파일 업로드 취약점이 있습니다.

TL;DR 익스플로잇

인증된 공격자가 shell.php를 업로드하고 원격 코드를 실행하는 방법을 보여주는 POC CVE-2026-7537.py가 제공됩니다:

python3 ./CVE-2026-7537.py http://target-site.com admin password123
[+] Logging into: http://target-site.com/wp-admin
[+] Extracting nonce values...
[+] Uploading web shell: shell.php
[+] Web Shell Location: http://target-site.com/wp-content/uploads/2026/02/shell.php
[+]
[+] Executing test command: id
uid=33(www-data) gid=33(www-data) groups=33(www-data)

기술적 설명

이 취약점은 커뮤니케이션 기능의 mdjm_send_comm_email() 함수에 존재합니다. 업로드 기능은 이메일 커뮤니케이션의 파일 첨부를 처리할 때 적절한 파일 검증을 수행하지 않습니다. 이로 인해 mdjm_comms_send 권한을 가진 인증된 사용자(기본적으로 관리자 및 MDJM 관리자)가 임의 파일(서버에서 실행될 수 있는 PHP 파일 포함)을 업로드할 수 있습니다.

공격 경로 분석

소스: $_FILES['mdjm_email_upload_file']의 사용자 입력 싱크: comms-functions.php#L248의 move_uploaded_file($tmp_path, $file_path)

취약점은 다음 이유로 발생합니다:

1. 라우트 등록: 커뮤니케이션 양식은 comms-functions.php#L24을 통해 send_comms 권한을 가진 사용자에게 접근 가능합니다.
2. 권한 확인: mdjm_comms_send 권한은 class-mdjm-permissions.php#L626을 통해 manage_mdjm 권한이 있는 사용자에게 부여됩니다.
3. 기본 역할 권한: DJ 역할(class-mdjm-roles.php#L97-L104)은 기본적으로 mdjm_comms_send 권한이 없습니다 - 관리자만 있습니다.
4. 액션 처리: 양식 제출은 admin-actions.php#L26의 mdjm_process_actions() 함수를 통해 처리됩니다.
5. 핸들러 호출: 해당 액션은 comms-functions.php#L300에 등록된 mdjm_send_comm_email() 함수를 트리거합니다.
6. Nonce 검증: comms-functions.php#L235에서 nonce 검증을 통해 CSRF 보호가 존재하지만, 이후 파일 검증은 수행되지 않습니다.
7. 입력 처리: comms-functions.php#L241-L251에서 의 사용자 제어 파일 데이터가 검증 없이 직접 처리됩니다.

취약한 코드 위치

파일: includes/admin/communications/comms-functions.php#L241-L251

if ( isset( $_FILES['mdjm_email_upload_file'] ) && '' !== $_FILES['mdjm_email_upload_file']['name'] ) {
    $upload_dir = wp_upload_dir();

    $file_name = $_FILES['mdjm_email_upload_file']['name']; // phpcs:ignore WordPress.Security.ValidatedSanitizedInput.InputNotValidated
    $file_path = $upload_dir['path'] . '/' . $file_name;
    $tmp_path  = $_FILES['mdjm_email_upload_file']['tmp_name']; // phpcs:ignore WordPress.Security.ValidatedSanitizedInput.InputNotValidated

    if ( move_uploaded_file( $tmp_path, $file_path ) ) {
        $attachments[] = $file_path;
    }
}