[단독분석] 분석 — CVE-2020-25213

• 심각도 critical · CVSS 10.0 · EPSS 0.97328 · 악용난이도 easy · KEV

wp‑file‑manager 플러그인의 elFinder 커넥터 파일을 “example.php”와 같이 .php 확장자로 이름을 바꾸어 업로드합니다. 이후 elFinder의 upload, mkfile, put 명령을 이용해 임의의 PHP 코드를 wp-content/plugins/wp-file-manager/lib/files/ 디렉터리에 기록하고 실행할 수 있습니다. 이 과정은 네트워크 접근(AV:N)·저난이도(AC:L)·인증 불필요(PR:N)·사용자 상호작용 없음(UI:N)으로 구성됩니다.

악용 가능성: CVSS 벡터 AV:N/AC:L/PR:N/UI:N은 공격자가 인터넷을 통해 대상 워드프레스 사이트에 직접 접근하면 별도의 인증이나 사용자 조작 없이도 악용이 가능함을 의미합니다. EPSS 0.97328이라는 높은 실측값과 KEV 등재(실제 악용 확인) 사실은 이 취약점이 이론적 심각도를 넘어 실제 위협으로 빈번히 활용되고 있음을 강력히 뒷받침합니다. 트

• 기술적 위험

  • 성공적인 악용 시 공격자는 웹 서버 권한으로 임의 PHP 코드를 실행하여 워드프레스 관리자 페이지 탈취, 플러그인/테마 파일 변조, 추가 백도어 설치 등이 가능합니다.
  • 해당 플러그인이 설치된 모든 WordPress 사이트가 대상이며, wp‑file‑manager < 6.9 버전을 사용하는 경우 전 세계적으로 수천 개 이상의 웹사이트가 노출될 가능성이 있습니다.

• 비즈니스 위험

  • 서비스 중단(웹사이트 무응답)·데이터 변조·악성 스크립트 삽입으로 인한 브랜드 신뢰도 하락이 발생할 수 있습니다.
  • 개인정보 및 결제 정보가 포함된 사이트라면 규제 위반(예: GDPR, PCI‑DSS) 위험이 존재합니다.

• 동일 플러그인 내 파일 업로드 경로를 이용한 다른 CVE(예: wp‑file‑manager ≤ 6.8의 디렉터리 탐색)와 연계될 가능성이 있습니다.
• 공격자는 초기 RCE 후 워드프레스 REST API 취약점이나 관리자 계정 탈취(CVE‑2021‑xxx 등)를 추가로 이용해 횡적 이동을 시도할 수 있습니다.

• 웹 서버 접근 로그: POST /wp-content/plugins/wp-file-manager/lib/files/.*\.php 와 같은 경로에 대한 파일 업로드 요청이 기록되는 경우.
• 워드프레스 디버그 로그: “elFinder connector” 혹은 “example.php”와 관련된 오류 메시지.
• IDS/IPS 시그니처 예시 (간단히): regex "wp-file-manager/lib/files/.*\.php" 로 파일 생성·실행 이벤트를 경보.

1. 즉시 조치 – 취약 버전(6.9 미만) 사용 중인 플러그인을 비활성화하고, 최신 6.9 이상 버전으로 업데이트합니다. (우선순위 = immediate, [우선순위 결정]에 근거)
2. 임시 방어 – wp-content/plugins/wp-file-manager/lib/files/ 디렉터리에 웹 실행 권한을 차단하고, .php 파일 업로드를 웹 서버 레벨(Nginx/Apache)에서 거부합니다.
3. 장기 대책 – 플러그인 공급자의 보안 패치를 정기적으로 적용하고, 워드프레스 코어와 모든 플러그인의 최신 상태 유지 정책을 강화합니다.

본 보고서는 다중 소스 교차검증 결과가 일관되게 확인됐으며([교차검증]), EPSS 0.97328이라는 높은 실제 악용 가능성을 반영해 즉시 대응이 권고됩니다.

• 조치: immediate (지금 즉시(24h 내))
• 근거: CVSS=10.0 · KEV · EPSS=0.97328 · exploit=easy · in_scope=None