Aviso (del mapa de origen)

La inyección de objetos PHP es maybe_unserialize sobre metadatos de contacto, no una acción ajax=. El HTTP es REST mint-form-submit. Los nombres de métodos PHP no son action=.

Entrada

• Método: POST
• Ruta: /?rest_route=/mint-mail/v1/mint-form-submit
• Enrutador: REST mint-mail/v1/mint-form-submit (FormSubmissionController::mrm_submit_form). permission_callback siempre es true. wp_nonce es wp_rest (uid 0). post_data son campos de formulario en formato query-string.
• Notas: CVE-2026-84753 CWE-502: los campos de formulario no autenticados se almacenan como metadatos de contacto, y luego ContactModel::safe_unserialize_meta() les aplica maybe_unserialize() (los objetos se instancian antes de que se descarte el is_array). La 1.31.1 rechaza la entrada is_serialized() y usa allowed_classes=>false. La semilla del laboratorio inserta mint_forms id=1 y el slug de página mm-lab-nonce con MM_NONCE=. Envía dos veces con el mismo correo electrónico para que la segunda petición llegue a ContactModel::get. El testigo es el nombre de clase único POCWitness84753 en un error 500/JSON o en debug.log — no una reverse shell. El primer POST almacena el payload; el segundo POST lo deserializa.

Cadena de llamadas

• GET /?rest_route=/wp/v2/pages&slug=mm-lab-nonce → MM_NONCE
• POST mint-mail/v1/mint-form-submit post_data email+form_id+campo extra serializado
• FormAction::handle_form_submission almacena los metadatos tal cual (FormAction.php:58-64, 265)
• segundo POST contacto existente → ContactModel::get → safe_unserialize_meta maybe_unserialize (ContactModel.php:1552-1557)
• objeto __wakeup/__destruct / error de clase desconocida

Precondiciones del laboratorio

• WordPress con mail-mint 1.31.0 activo
• fila mint_forms id=1 con estado published
• MM_NONCE público= nonce wp_rest para uid 0
• Doble opt-in deshabilitado para que WPMailMailer is_plugin_active() no provoque un error fatal antes de almacenar los metadatos
• Clase canario del mu-plugin del laboratorio POCWitness84753 (wakeup/destruct registran el nombre; no es una cadena de gadgets)

Testigo

La respuesta o debug.log contiene POCWitness84753 (clase desconocida durante la deserialización). El HTML del tema, el mensaje del bot de nonce o un JSON de éxito sin error de clase no son el testigo de inyección de objetos.

No es éxito

• HTML genérico 200 hello world
• Seems like you are a bot
• Form is not valid / Email Field Not found
• status success sin error de deserialización (el payload nunca se instanció)
• reverse shell o conexión saliente

Parche / remediación

Haz esto primero: Actualiza Mail Mint a 1.31.1 o posterior.

Verificar tras la actualización

• Vuelve a ejecutar CVE-2026-84753-Abraxas-Labs.py contra la compilación parcheada: el testigo mapeado no debe aparecer.
• Confirma el aviso del proveedor / changeset en el árbol desplegado (ver referencias).
• Una firma WAF es un retraso, no un parche.

Si no puedes actualizar de inmediato

• Deshabilita o aísla el componente afectado.
• Busca la condición del testigo en producción (nuevos usuarios privilegiados, archivos inesperados, filas inyectadas — lo que sea que nombre el mapa de este CVE).

Reproducción (laboratorio autorizado)

Apunta solo a http://127.0.0.1:8088 (o al loopback que hayas vinculado). No apuntes este script a internet.

El éxito es el testigo anterior en el cuerpo de la respuesta. Un HTML 200 genérico no lo es.

Imágenes del laboratorio

Stack de loopback usado para reproducir. Imágenes oficiales a menos que un Dockerfile en esta carpeta compile desde el código fuente.

• lab/docker-compose.yml
• lab/docker-compose.override.yml
• lab/Dockerfile

Vincula el árbol del producto vulnerable junto a Compose si el YAML monta un directorio local (zip del plugin / etiqueta de código fuente de la tabla de versiones). No publiques nada excepto 127.0.0.1.

Referencias

• CVE-2026-84753 · NVD

• CVE-2026-84753 · CVE.org

• patchstack.com/database/wordpress/plugin/mail-mint/vulnerability/wordpress-mail-mint-plugin-1-31-0-php-object-injection-vulnerability?_s_id=cve

• github.com/advisories/GHSA-28vg-wv39-3g8h

• nvd.nist.gov/vuln/detail/CVE-2026-84753

• Directorio de plugins: mail-mint

• Navegador Trac: plugins.trac.wordpress.org/mail-mint

• Etiquetas SVN: plugins.svn.wordpress.org/mail-mint

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

Registros (estructurados)

Descargo de responsabilidad

Este paquete es para el proveedor, el propietario del sitio y laboratorios con licencia. El script se comunica con 127.0.0.1. Usarlo contra sistemas que no posees no está autorizado por Abraxas Labs. Sin garantía.

abraxaslabs.tech · github.com/abraxas · @abraxas_null