[CVE Study] CVE-2023-2384

코코·2024년 1월 14일

CVE Study CVE-2023-2384 인증 우회

CVE_Study

목록 보기

3/3

오늘은 ! WordPress Plugin의 Bookit 취약점에 대해 공부해보려한다.
CVE-2023-2384에 대해 알아보자. 취약점 분석 글이 자세하게 적혀있어 차근차근 따라가며 학습해보려고 한다.

CVE-2023-2384

Wordpress Bookit 2.3.6 이하 버전에서 발생하는 인증 우회 취약점. 사용자의 Email만 알고 있다면, 해당 사용자로 로그인할 수 있다.

바로 코드부터 살펴보자. 취약한 코드는 CustomerController.php 파일에 존재한다.

	public static function get_customer( $data ) {
		
		if ( ! empty( $data['user_id'] ) ) {
			$id = Customers::get('wp_user_id', $data['user_id'])->id;
		} else {
			$id = Customers::get('email', $data['email'])->id;
		}

IF 조건문을 통해 user_id가 있는지 없는지 확인한다.
만약 user_id가 있다면, user_id를 통해서 id를 가져오고, user_id가 없다면, E-mail을 통해 id를 가져온다.

$data는 사용자가 입력한 파라미터이다.

다음 코드를 살펴보자.

		$settings = SettingsController::get_settings();
		if ( $settings['booking_type'] == 'registered' && !is_user_logged_in() ) {
			$data['role']    = User::$customer_role;
			$data['user_id'] = Customers::save_or_get_wp_user($data);
			/** Authorize wp User */
			wp_clear_auth_cookie();
			wp_set_current_user ( $data['user_id'] );
			wp_set_auth_cookie  ( $data['user_id'] );
		}

위에서 get_settings()를 통해 설정을 가져온다.
이를 통해 booking_type이 예약된 상태이고, 사용자가 로그인되지 않은 상태라면 아래의 로직으로 이동하게 된다.

아래의 로직은 save_or_get_wp_user 메서드를 통해 user_id를 가져온다.

참고용으로 save_or_get_wp_user 함수를 가져와봤다.

	public static function save_or_get_wp_user($data) {

		$is_exist_user = get_user_by_email($data['email']);
		if ( $is_exist_user ) {
			return $is_exist_user->data->ID;
		}

		$user_data = [
			'user_login'    => $data['email'],
			'user_pass'     => $data['password'],
			'first_name'    => $data['full_name'],
			'last_name'     => '',
			'user_email'    => $data['email']
		];

		if ( empty( $user_data['first_name'] ) ) {
			$user_data['first_name'] = $data['email'];
		}

		if ( array_key_exists('role', $data) && get_role($data['role']) != null ) {
			$user_data['role'] = $data['role'];
		}

		return wp_insert_user($user_data);
	}

다시 계속해서 살펴보자.

		$settings = SettingsController::get_settings();
		if ( $settings['booking_type'] == 'registered' && !is_user_logged_in() ) {
			$data['role']    = User::$customer_role;
			$data['user_id'] = Customers::save_or_get_wp_user($data);
			/** Authorize wp User */
			wp_clear_auth_cookie();
			wp_set_current_user ( $data['user_id'] );
			wp_set_auth_cookie  ( $data['user_id'] );
		}