Aviso (del mapa de código fuente)

La inyección de objetos PHP es maybe_unserialize sobre los metadatos del propietario del checkout en create_order, no una acción ajax=. El HTTP son las páginas de carrito + process-payment. Los nombres de métodos PHP no son action=.

Entrada

• Método: POST
• Ruta: /cart/
• Enrutador: POST de carrito no autenticado (update_cart en wp_loaded / admin_post_nopriv_tickera_cart). Acción de nonce tickera_cart_page. Luego POST de free_orders process_payment a /process-payment/ con tc_payment_submit. create_order hace maybe_unserialize() de los *_post_meta del propietario.
• Notas: CVE-2026-82226 CWE-502: Tickera 3.6.0.2 create_order hace maybe_unserialize() de los *post_meta de owner_data del asistente (tickera.php ~3919). 3.6.0.3 rechaza los campos de propietario is_serialized() y tickera_sanitize_array usa allowed_classes=>false. Semilla del laboratorio: evento publicado + tc_tickets gratuitos, show_owner_fields=yes, clase canario POCWitness82226, página pública slug tc-lab-nonce con TICKET_ID= CART_NONCE= COOKIEHASH=. La cookie de carrito tc_cart{COOKIEHASH} es JSON {ticket_id:1}. El testigo es POCWitness82226 en el cuerpo HTTP o en debug.log — no es un shell. El nombre de la clase tiene 15 caracteres, por lo que el payload es O:15: no O:16.

Cadena de llamadas

• GET /tc-lab-nonce/ → TICKET_ID CART_NONCE COOKIEHASH
• Set cookie tc_cart_{COOKIEHASH}={ticket_id:1}
• POST /cart/ cart_action=proceed_to_checkout + nonce + owner_data_first_name_post_meta[id][0]=serialized object
• TC::update_cart → save_cart_post_data stores owner_data in session
• POST /process-payment/ tc_payment_submit (free_orders permanently_active, total 0)
• TC_Gateway_Free_Orders::process_payment → TC::create_order → maybe_unserialize(owner *_post_meta)

Precondiciones del laboratorio

• WordPress con tickera-event-ticketing-system 3.6.0.2 activo
• tc_events + tc_tickets publicados con price_per_ticket=0, event_name=event id
• show_owner_fields=yes para que se acepten los *_post_meta de owner_data
• TICKET_ID= CART_NONCE= COOKIEHASH= públicos en el slug tc-lab-nonce
• Clase canario del mu-plugin del laboratorio POCWitness82226 (wakeup/destruct registran el nombre; no es una cadena de gadgets)

Testigo

La respuesta o debug.log contiene POCWitness82226 (clase instanciada durante el unserialize). El HTML del tema, un nonce de carrito inválido o un carrito vacío no son el testigo de inyección de objetos.

No es éxito

• HTML genérico 200 hello world
• Solicitud de carrito inválida
• El carrito está vacío
• Todos los campos marcados con * son obligatorios
• status success sin unserialize / instanciación de clase
• reverse shell o conexión saliente

Parche / remediación

Haz esto primero: Actualiza Tickera a 3.6.0.3 o posterior.

Verificar tras la actualización

• Vuelve a ejecutar CVE-2026-82226-Abraxas-Labs.py contra la compilación parcheada: el testigo mapeado no debe aparecer.
• Confirma el aviso del proveedor / changeset en el árbol desplegado (ver referencias).
• Una firma de WAF es un retraso, no un parche.

Si no puedes actualizar de inmediato

• Deshabilita o aísla el componente afectado.
• Busca la condición del testigo en producción (nuevos usuarios privilegiados, archivos inesperados, filas inyectadas — lo que nombre el mapa de este CVE).

Reproducción (laboratorio autorizado)

Apunta solo a http://127.0.0.1:8088 (o al loopback que hayas vinculado). No apuntes este script a internet.

El éxito es el testigo anterior en el cuerpo de la respuesta. Un HTML 200 genérico no lo es.

Imágenes del laboratorio

Stack de loopback usado para reproducir. Imágenes oficiales a menos que un Dockerfile en esta carpeta compile desde el código fuente.

• lab/docker-compose.yml
• lab/docker-compose.override.yml
• lab/Dockerfile

Vincula el árbol del producto vulnerable junto a Compose si el YAML monta un directorio local (zip del plugin / etiqueta de código fuente de la tabla de versiones). No publiques nada excepto 127.0.0.1.

Referencias

• CVE-2026-82226 · NVD

• CVE-2026-82226 · CVE.org

• patchstack.com/database/wordpress/plugin/tickera-event-ticketing-system/vulnerability/wordpress-tickera-plugin-3-6-0-2-php-object-injection-vulnerability?_s_id=cve

• github.com/advisories/GHSA-v3jw-vq2p-6xp9

• nvd.nist.gov/vuln/detail/CVE-2026-82226

• Directorio de plugins: tickera-event-ticketing-system

• Navegador Trac: plugins.trac.wordpress.org/tickera-event-ticketing-system

• Etiquetas SVN: plugins.svn.wordpress.org/tickera-event-ticketing-system

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

Registros (estructurados)

Descargo de responsabilidad

Este paquete es para el proveedor, el propietario del sitio y laboratorios con licencia. El script se comunica con 127.0.0.1. Usarlo contra sistemas que no posees no está autorizado por Abraxas Labs. Sin garantía.

abraxaslabs.tech · github.com/abraxas · @abraxas_null