Hippoo-Mobile-App-for-WooCommerce-CVE-Report

CVE-2025-13339 공개

CVE-2025-13339 - Hippoo Mobile App for WooCommerce 취약점

이 저장소는 hippooo가 개발한 WordPress 플러그인인 Hippoo Mobile App for WooCommerce <= 1.6.1에서 발견된 취약점을 공개합니다.

🛠 영향받는 버전

제품: Hippoo Mobile App for WooCommerce
버전: v1.6.1
URL: https://wordpress.org/plugins/hippoo

🔒 할당된 CVE

CVE ID	유형	구성 요소	영향
CVE-2025-13339	인증되지 않은 임의 파일 읽기	hippoo/app/pwa.php	인증되지 않은 임의 파일 읽기(예: wp-config.php)

🧾 상세 설명

CVE-2025-13339 — 인증되지 않은 임의 파일 읽기

영향받는 구성 요소: Hippoo Mobile app for WooCommerce - PWA 라우팅
공격 경로: hippoo_serve 쿼리 매개변수를 통한 인증되지 않은 경로 순회(path traversal)
트리거: 플러그인은 사용자 정의 쿼리 변수 hippoo_serve를 등록하고, HippooPwa::template_redirect() 내부에서 이를 직접 연결하여 파일 경로를 구성합니다.

http://localhost:8080/?hippoo_serve=../../../../wp-config.php

영향: 인증되지 않은 임의 파일 읽기(AFD/LFI). 공격자는 PHP 프로세스가 읽을 수 있는 민감한 파일을 노출할 수 있습니다. 여기에는 다음이 포함됩니다:
wp-config.php (데이터베이스 자격 증명, 인증 salt/키)
웹 서버 구성 파일(예: .htaccess)
서버 구성 및 권한에 따라 다양한 로그 파일 또는 기타 구성/비밀 자료

wp-config.php 단독 노출만으로도 일반적으로 데이터베이스를 손상시키기에 충분하며, 전체 사이트 탈취로 이어질 수 있습니다.

❓취약점의 원인

HippooPwa::template_redirect()의 hippoo_serve 처리는 공개 프런트엔드에서 어떠한 권한 또는 인증 검사 없이 실행되므로, 누구나(인증되지 않은 방문자 포함) 파일 제공 로직을 트리거할 수 있습니다.

이를 해결하려면 current_user_can(“manage_options”) 권한 검사를 추가하고 외부 입력이 경로에 직접 추가되지 않도록 해야 합니다.

한마디

첫 번째 임의 파일 읽기 취약점. wp-config.php를 읽을 수 있다면 상당히 치명적인 취약점으로 승화시킬 수 있기 때문에, 현상금을 조금 더 받고 싶었던 마음이 있다... 하지만 WordFence 쪽에 쓰레기 리포트를 여러 개 보내버렸기 때문에, 머리를 들 수가 없다.

🔍 발견자

이름: MooseLove
역할: 독립 보안 연구원 / 버그 헌터
연락처: 요청 시 제공

📚 참고 자료

제품: https://wordpress.org/plugins/hippoo

⚠️ 라이선스

본 권고는 공공 보안 인식 제고를 위해 제공됩니다. 출처를 명시하면 자유롭게 공유할 수 있습니다.

Hippoo-Mobile-App-For-WooCommerce-CVE-Report

인기