CVE-2026-4106: WordPress HT Mega 비인증 PII 노출 익스플로잇

WordPress용 HT Mega - Absolute Addons for Elementor 플러그인(버전 < 3.0.7)을 대상으로 하는 CVE-2026-4106 강력한 멀티스레드 PoC(Proof of Concept) 익스플로잇입니다.

취약점 개요

HT Mega 플러그인은 위젯용 동적 콘텐츠를 가져오기 위해 여러 wp_ajax_nopriv_ 후크(예: wcsales_purchased_products, htmega_user_list_ajax)를 등록합니다. 그러나 적절한 권한 부여(current_user_can) 또는 인증(check_ajax_referer) 검사를 구현하지 않습니다.

이로 인해 인증되지 않은 원격 공격자가 조작된 AJAX 요청을 전송하여 WordPress 데이터베이스에서 직접 고도로 민감한 개인 식별 정보(PII)를 추출할 수 있습니다. 여기에는 다음이 포함됩니다:

고객 이름(이름/성)
청구지 주소(도시, 국가, 주)
구매 품목 및 가격
사용자 목록 및 문의 양식 제출 내역

기능

고속 대량 스캐너: 수천 개의 대상을 동시에 스캔할 수 있는 멀티스레드 엔진.
WAF 우회 메커니즘: 표준 웹 애플리케이션 방화벽(WAF)을 우회하기 위한 자동 IP 스푸핑(X-Forwarded-For) 및 무작위 User-Agent 순환.
이중 출력 로깅: 데이터를 자동으로 추출하여 머신이 읽을 수 있는 exploited_PII.json과 정리된 grep 친화적인 exploited_summary.txt로 저장합니다.
레거시 SSL 지원: 오래된 대상 서버에서 핸드셰이크 오류를 방지하기 위한 내장 SSL/TLS 다운그레이드 어댑터(TLSV1_ALERT_INTERNAL_ERROR 수정).
오탐 필터링: 파킹된 도메인, 정지된 페이지(예: Bluehost), JSON이 아닌 HTML 응답을 자동으로 무시합니다.

설치

저장소를 클론하고 필요한 의존성을 설치합니다:

git clone https://github.com/ef3tr/CVE-2026-4106.git
cd CVE-2026-4106
pip install -r requirements.txt

사용법

이 익스플로잇은 단일 대상(Single Target) 또는 대량 스캔(Mass Scan)의 두 가지 모드로 실행할 수 있습니다.

python exploit.py

예제 출력 (exploited_summary.txt)::

[+] Target: https://example.com | Action: wcsales_purchased_products | Date: 2026-04-11 08:30:15
    -> Buyer: John Doe | Location: Berlin/Deutschland | Item: Premium Package | Price: €375 | URL: https://example.com/product/premium/
    -> Buyer: Jane Smith | Location: London/UK | Item: Basic Package | Price: €150 | URL: https://example.com/product/basic/

면책 조항

이 도구는 교육 목적과 윤리적 보안 연구 용도로만 제공됩니다. 작성자는 이 프로그램으로 인해 발생하는 오용 또는 손해에 대해 책임을 지지 않습니다. 이 소프트웨어는 본인이 소유하거나 명시적 테스트 허가를 받은 시스템에서만 사용하십시오.

참고 자료

WPScan

CVE-2026-4106