🚨 CVE-2026-15038 — InfiniteWP Client Admin-Übernahme

Unauthentifizierte Übernahme von Admin-Konten in WordPress Multisite

📋 Übersicht

Das InfiniteWP Client-Plugin für WordPress (< 1.13.6) enthält eine kritische Schwachstelle zur Umgehung der Authentifizierung, die Multisite-Installationen betrifft.

Ein nicht authentifizierter Angreifer kann:

🔓 Sämtliche Authentifizierungsprüfungen umgehen
🔑 Eigene kryptografische Schlüssel binden
👑 Admin-Sitzungen übernehmen
💻 Remote Code Execution (RCE) erreichen
🌐 Das gesamte WordPress-Netzwerk kompromittieren

🔍 Root-Cause-Analyse

🐛 Bug #1: Abweichender Verbindungsstatus

if (!$iwp_mmb_core->get_option('iwp_client_action_message_id') 
    && !$iwp_mmb_core->get_option('iwp_client_public_key'))

Leser: Verwendet get_site_option() → liest aus der Netzwerkebene (wp_sitemeta)
Schreiber: Verwendet update_blog_option() → schreibt in die Optionen des jeweiligen Blogs (wp_X_options)

💥 Ergebnis: Bei Multisite gibt die Schutzabfrage immer false zurück — eine erneute Kopplung ist daher immer möglich.

🐛 Bug #2: Umgehung des Aktivierungsschlüssels

if(trim($activation_key) != get_option('iwp_client_activate_key')){

Nach der Aktivierung wird der Schlüssel gelöscht → get_option() gibt false zurück
Der Angreifer sendet keinen activation_key → trim(null) → ''
PHP-Vergleich mit loser Typisierung: '' != false → false → Die Prüfung wird bestanden 🎯

🐛 Bug #3: Vom Angreifer kontrolliertes Schlüsselpaar

Der Angreifer erzeugt sein eigenes RSA-Schlüsselpaar
Signiert Anfragen selbst → openssl_verify() wird erfolgreich
Das Plugin bindet den Schlüssel des Angreifers an ALLE Blogs im Netzwerk

🚀 Angriffskette

graph LR
    A[Send POST Request] --> B[Add Site Action]
    B --> C[Guard Bypassed]
    C --> D[Activation Key Check Fails]
    D --> E[Signature Verifies]
    E --> F[Attacker Key Bound]
    F --> G[Full Admin Access]
    G --> H[RCE Achieved]

💻 Installation

# Clone the repository
git clone https://github.com/yourusername/CVE-2026-15038.git
cd CVE-2026-15038

# Install dependencies
pip install -r requirements.txt

🎯 Verwendung

Einzelnes Ziel (grundlegende Nutzung)

python3 exploit.py -t https://wordpress.ddev.site

Massen-Exploitation

python3 exploit.py -t https://target1.com -t https://target2.com -t https://target3.com

Ausführung benutzerdefinierter Befehle

python3 exploit.py -t https://wordpress.ddev.site --command "wp plugin install hello-dolly --activate"

Vollständige Angriffskette

python3 exploit.py -t https://wordpress.ddev.site --takeover --rce

📂 Dateistruktur

File	Description
`exploit.py`	🐍 Haupt-Exploit-Skript mit Unterstützung für Massen-Exploitation
`requirements.txt`	📦 Python-Abhängigkeiten
`README.md`	📖 Diese Dokumentation

⚠️ Wichtige Hinweise

✅ Funktioniert mit WordPress-Multisite-Installationen
❌ Nicht wirksam bei Single-Site-Installationen
🔒 Behoben in InfiniteWP Client 1.13.6
🔐 Immer auf die neueste Version aktualisieren

🛡️ Gegenmaßnahmen

Sofortmaßnahme: Aktualisieren auf InfiniteWP Client ≥ 1.13.6
Prüfen: Nach verdächtigen Admin-Benutzern suchen
Audit: Aktuelle add_site-Anfragen in den Protokollen überprüfen
Überwachen: Auf ungewöhnliche Plugin-Aktivitäten achten

🔗 Ressourcen

⚖️ Haftungsausschluss

Dieses Tool dient ausschließlich Bildungs- und Sicherheitstestzwecken. Verwenden Sie es nur auf Systemen, die Ihnen gehören oder für die Sie eine ausdrückliche Testgenehmigung besitzen. Die Autoren übernehmen keine Haftung für eine missbräuchliche Verwendung.

By-Poloss..-..CVE-2026-15038-POC

Beliebteste