CVE-2026-32475 — Elementor Pro Forms 인증되지 않은 임의 파일 업로드 → RCE

CVE-2026-32475(CVSS 9.x, Patchstack, Elementor Pro Forms File Upload 필드, 영향 ≤ 4.2.1, 2026-08-19에 4.2.2에서 수정, Tin Pham / TF1T 보고)을 재현하는 A/B Docker 랩입니다. 인증되지 않았으며 사용자 상호작용이 필요 없습니다.

승인된 테스트/교육 전용입니다. 이 랩은 폐기 가능한 Docker 컨테이너에서 전적으로 127.0.0.1에서 실행됩니다. 명시적으로 테스트 승인을 받지 않은 시스템에 PoC를 사용하지 마십시오. build.sh는 공개 GPL 미러에서 Elementor Pro 소스를 가져옵니다. 이 저장소에는 프리미엄 코드가 재배포되지 않습니다.

근본 원인 — 검증/이동 루프 불일치

modules/forms/fields/upload.php. 두 루프가 동일한 재구성된 $_FILES['form_fields'][$id]를 반복하지만 빈 부분(UPLOAD_ERR_NO_FILE)을 다르게 처리합니다:

// validation()  — line ~269
foreach ( $_FILES['form_fields'][ $id ] as $index => $file ) {
    if ( ! $field['required'] && UPLOAD_ERR_NO_FILE === $file['error'] ) {
        return;                         // <-- 이 필드의 나머지 모든 검증을 포기
    }
    ...
    if ( ! $this->is_file_type_valid( $field, $file ) ) {           // 확장자 허용/차단 목록
        $ajax_handler->add_error( $id, 'This file type is not allowed.' );
    }
}

// process_field() — line ~418
foreach ( $_FILES['form_fields'][ $id ] as $index => $file ) {
    if ( UPLOAD_ERR_NO_FILE === $file['error'] ) {
        continue;                       // <-- 빈 부분만 건너뛰고 계속 진행
    }
    $filename  = uniqid() . '.' . pathinfo( $file['name'], PATHINFO_EXTENSION ); // 공격자 확장자, 재검증 없음
    move_uploaded_file( $file['tmp_name'], trailingslashit( $uploads_dir ) . $filename );
}

서비스	포트	Elementor Pro
`wp-vuln`	http://127.0.0.1:8975	3.6.4 — 취약 (정품 트리, `validation()` 불일치가 ≤4.2.1과 동일)
`wp-patched`	http://127.0.0.1:8976	4.2.2와 동등한 수정이 적용된 3.6.4 (`return` → `continue`, 루프 정렬)

cve-2026-32475-elementor-pro-lab

인기

단순 쓰기가 아닌 RCE인 이유

하나의 전제 조건

파일 이름 복구 (완전 원격, 파일시스템 접근 없음)

랩 구성

빌드 및 실행

익스플로잇

파일

정리 / 해체