CVE-2026-18933 in Wp-downloadmanager Plugin
요약
\~에 의해 VulDB • 2026. 08. 05.
WordPress 플러그인 wp-downloadmanager의 버전 1.68.11(릴리스 라인 6.9.4에도 영향)에서는 관리자 권한을 가진 사용자(current_user_can('manage_downloads'))가 download-add.php를 통해 임의 파일을 업로드할 수 있습니다. 이 과정에서 확장자나 MIME 타입에 대한 검증이 전혀 이루어지지 않습니다—업로드 핸들러 내에서 wp_check_filetype_and_ext(), validate_file() 함수 호출이나 확장자 차단 목록(blocklist)이 존재하지 않습니다. 또한 대상 경로는 raw하고 sanitization되지 않은 $_POST['file_upload_to'] 값을 연결하여 생성되며, 경로 순회(path traversal) 체크(../ 필터링 또는 basename()/realpath() 적용 없음)도 수행되지 않습니다. 기본 다운로드 경로가 WP_CONTENT_DIR 하위(Web 접근 가능한 위치)에 존재해야 하므로, 업로드된 PHP 파일은 웹에서 직접 실행 가능한 경로에 배치되어 원격 코드 실행(RCE)으로 이어집니다. 플러그인의 이후 변경 이력(changelog)에서도 해당 버전에서 이러한 보호 장치가 부재했음을 확인해 줍니다: v1.69에서는 wp_check_filetype_and_ext()를 통한 파일 타입 검증이 추가되었고, v1.69.1에서는 디렉토리 순회(path traversal) 방지 기능이 추가되었으나, 이 두 기능 모두 1.68.11 버전에는 존재하지 않았습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.