인증된 임의 파일 업로드로 이어지는 원격 코드 실행 — Webkul Krayin CRM 2.2.x의 CVE-2026-38526에 대한 기술 분석 및 통제된 재현.
인증된 사용자에 의한 임의 파일 업로드로 이어지는 원격 코드 실행 — Webkul Krayin CRM 2.2.x의 CVE-2026-38526에 대한 기술 분석 및 통제된 재현.
CVE-2026-38526은 Webkul Krayin CRM 2.2.x에 영향을 미치는 인증된 임의 파일 업로드 취약점입니다.
취약한 기능은 애플리케이션의 TinyMCE 업로드 엔드포인트를 통해 노출됩니다:
POST /admin/tinymce/upload
애플리케이션은 업로드할 수 있는 파일 유형을 충분히 제한하지 않습니다. 인증된 사용자는 .php와 같은 서버 측 실행 가능 확장자를 가진 파일을 제출할 수 있습니다. 애플리케이션은 업로드된 파일을 저장하고 접근 가능한 URL을 반환합니다.
배포 환경에서 업로드 위치로부터의 PHP 실행이 허용되는 경우, 업로드된 파일은 이후 웹 서버를 통해 요청될 수 있으며, 그 결과 웹 애플리케이션 프로세스의 컨텍스트에서 원격 코드 실행이 발생합니다.
공개된 CVE 레코드는 이 취약점을 CVSS 3.1: 9.9 (Critical)로 평가합니다.
이 저장소는 취약점에 대한 저의 자체 기술 분석과 통제된 재현을 담고 있습니다.
이 취약점은 이미 CVE-2026-38526으로 공개적으로 공개되었습니다. 이 작업은 취약점의 발견을 주장하지 않습니다. 이 연구의 목적은 취약한 구현을 이해하고, 통제된 환경에서 익스플로잇 경로를 재현하며, 파일 업로드 문제를 원격 코드 실행으로 전환시키는 조건을 조사하는 것이었습니다.
이 취약점은 Hack The Box GCSB 2026 Nexus 머신에서도 사용되었으며, 이는 해당 문제를 연구할 수 있는 실용적인 환경을 제공했습니다.
제품: Webkul Krayin CRM 영향을 받는 버전: 2.2.x 취약점: 임의 파일 업로드 결과적 영향: 원격 코드 실행 인증: 필요 공격 벡터: 네트워크 CWE: CWE-434 — 위험한 유형의 파일 무제한 업로드 CVSS: 9.9 Critical CVE: CVE-2026-38526
취약한 기능은 다음에 의해 처리됩니다:
/admin/tinymce/upload
이 엔드포인트는 file 파라미터를 통해 업로드된 파일을 받습니다. 관련 애플리케이션 로직은 원본 파일 이름으로부터 저장될 파일 이름을 도출하고 원래 확장자를 유지합니다.
이 동작은 애플리케이션이 단순히 업로드된 객체를 받아들이는 것이 아니라, 공격자가 제어하는 실행 가능 확장자를 유지하고 결과 객체를 애플리케이션 저장 메커니즘을 통해 접근 가능하게 만들기 때문에 중요합니다.
주요 문제는 업로드된 파일에 대한 서버 측 검증이 불충분하다는 것입니다.
애플리케이션은 저장될 파일 이름을 구성할 때 클라이언트가 제공한 원래 확장자를 사용합니다. 실행 가능한 파일 유형이 저장 계층에 도달하는 것을 막는 충분히 제한적인 허용 목록이 없습니다.
관련 흐름은 다음과 같습니다
생성된 파일 이름을 사용하는 것은 근본적인 문제를 해결하지 못합니다.
예를 들어, shell.php를 .php와 같은 생성된 파일 이름으로 바꾸는 것은, 서버가 계속해서 .php 파일을 실행 가능한 PHP 코드로 해석한다면 업로드된 파일을 안전하게 만들지 못합니다.
무제한 업로드가 자동으로 원격 코드 실행을 의미하지는 않습니다.
실행 경로는 업로드된 파일에 대한 서버의 처리 방식에 달려 있습니다.
취약한 배포 시나리오에서 체인은 다음과 같습니다
