CVE-2026-15981

SAML Single Sign On <= 5.4.4 - Bypass de Autenticación No Autenticado mediante el Parámetro SAMLResponse

CVE-2026-15981

SAML Single Sign On ≤ 5.4.4 — Bypass de Autenticación No Autenticado

Exploit de Prueba de Concepto
_{Firma malformada → `openssl_verify()` devuelve `-1` → conversión flexible de PHP a `true` → `wp_set_auth_cookie()` como Administrador}

---

Resumen de la Vulnerabilidad

Campo	Detalle
ID CVE	CVE-2026-15981
Plugin afectado	miniOrange SAML 2.0 Single Sign On – SSO Login (WordPress)
Versiones afectadas	Todas las versiones hasta la 5.4.4 inclusive
Tipo	Bypass de Autenticación No Autenticado
CWE	CWE-287: Autenticación Incorrecta / CWE-305: Bypass de Autenticación por Debilidad Primaria
CVSS 3.1	9.8 CRÍTICO — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Autenticación	No se requiere ninguna

Descripción

El plugin SAML Single Sign On – SSO Login para WordPress es vulnerable a un Bypass de Autenticación en todas las versiones hasta la 5.4.4 inclusive. Esto se debe a que la función mo_saml_validate_signature() realiza una comprobación booleana flexible sobre el entero de tres estados devuelto por openssl_verify() de PHP, lo que hace que un valor de retorno de error de -1 se evalúe como verdadero y, por tanto, se trate como una verificación de firma exitosa.

Esto permite a atacantes no autenticados iniciar sesión como cualquier usuario existente de WordPress, incluidos los administradores, enviando una SAMLResponse manipulada que contiene un NameID controlado por el atacante y un valor de firma deliberadamente malformado que provoca un error de procesamiento de OpenSSL — eludiendo la verificación por completo y dando como resultado la llamada a wp_set_auth_cookie() para la cuenta objetivo.

Causa Raíz

Attacker sends crafted SAMLResponse
         │
         ▼
mo_saml_validate_signature()
         │
         ▼
openssl_verify($data, $malformed_sig, $key)
         │
         ├─ Returns  1  → valid signature      ✓
         ├─ Returns  0  → invalid signature     ✗
         └─ Returns -1  → OpenSSL internal error
                │
                ▼
     PHP loose comparison:  if ($result)
                │
                ├─ (int) 1   → true   ✓
                ├─ (int) 0   → false  ✓
                └─ (int) -1  → true   ← BUG: error treated as success
                       │
                       ▼
             wp_set_auth_cookie() called
                       │
                       ▼
             Attacker is now Administrator

La corrección es trivial — if ($result === 1) en lugar de if ($result) — pero el impacto de la falla es un bypass total de autenticación.

---

Características

• Escaneo masivo de múltiples objetivos — procesamiento concurrente de listas de objetivos
• Fingerprinting completo de WordPress — confirma WordPress antes de continuar
• Detección de plugin y verificación de versión — identifica miniOrange SAML SSO y valida la versión ≤ 5.4.4
• Descubrimiento de metadatos del SP — extrae el Entity ID y la URL ACS de ?option=mosaml_metadata
• Enumeración integral de usuarios:
  • API REST de WP (/wp-json/wp/v2/users)
  • Consultas REST por ID (IDs 1–10)
  • Redirecciones de archivo de autor (/?author=N)
  • Coincidencia de patrones en el cuerpo HTML
  • Respaldo basado en dominio + nombres de administrador comunes
• Descubrimiento del emisor IdP — sigue las redirecciones de ?option=saml_user_login y extrae las URL base del IdP
• Motor de falsificación de SAMLResponse:
  • Canonicalización Exclusive C14N correcta mediante lxml
  • Cálculo correcto del Digest (SHA-1/SHA-256/SHA-384/SHA-512)
  • Inyección del elemento de firma después de </Issuer> según la especificación SAML
  • Más de 12 cargas útiles de firma malformada diseñadas para provocar openssl_verify() = -1
  • Itera usuarios × emisores × algoritmos × firmas × indicadores de audiencia × entity IDs del SP
• Verificación de sesión — comprueba la cookie wordpress_logged_in_* después de cada intento
• Confirmación del rol de administrador — verifica el acceso a /wp-admin/, /wp-admin/users.php, /wp-admin/plugins.php
• Extracción de perfil — lee el nombre de usuario y el correo electrónico de /wp-admin/profile.php
• 4 métodos de subida de shell con sesión de administrador:
  • M1 — Subida de plugin ZIP mediante plugin-install.php
  • M2 — Subida de plugin por API REST mediante /wp-json/wp/v2/plugins
  • M3 — Escritura de archivos en el editor de temas/plugins
  • M4 — Subida asíncrona de medios
• Verificación de ejecución del shell — confirma la firma Nx-zD en el cuerpo de la respuesta
• Motor de diagnóstico — clasifica los motivos de fallo (DIGEST_FAIL, ISSUER, AUDIENCE, TIME, etc.)
• Salida JSON de depuración — registro de diagnóstico completo por objetivo para su análisis

---

Requisitos

Python >= 3.8

pip install requests lxml

lxml es necesario para una canonicalización Exclusive C14N correcta de la Assertion SAML.

---

Uso

python CVE-2026-15981.py

Se te solicitará:

Campo	Descripción	Por defecto
Archivo de objetivos	Ruta a un archivo de texto con un objetivo por línea	list.txt
Hilos	Número de trabajadores concurrentes (1–100)	5

Formato del Archivo de Objetivos

https://example.com
http://target.org
subdomain.example.net
192.168.1.100
https://example.com/wordpress

Una URL por línea. Se utiliza HTTP por defecto si no se especifica un esquema.

---

Salida

Terminal

  ███████╗███╗   ███╗███████╗
  ██╔════╝████╗ ████║██╔════╝
  ███████╗██╔████╔██║███████╗
  ╚════██║██║╚██╔╝██║╚════██║
  ███████║██║ ╚═╝ ██║███████║
  ╚══════╝╚═╝     ╚═╝╚══════╝
   ╔══════════════════════════════════════════════════════════╗
   ║  miniOrange SAML SSO <= 5.4.4                           ║
   ║  openssl_verify() -1 Bypass -> Admin Session            ║
   ╚══════════════════════════════════════════════════════════╝
  By: Nxploited ( Khaled Alenazi ) - Nxploited ZeroDay Hub
  T.m @Kxploit

Cada objetivo avanza a través de 7 etapas etiquetadas:

  ============================================================
    target.com
  ============================================================
  [1] WordPress
      confirmed
  [2] SAML plugin
      version: 5.4.4
      miniOrange SAML detected
  [3] SP metadata
      metadata entityID: https://target.com/...
      metadata ACS: https://target.com/
  [4] Users
      REST: admin (id=1)
      REST: editor (id=2)
      author/3: johndoe
      4 found: ['admin', 'editor', 'johndoe', 'target']
  [5] Issuers
      SSO redirect found
      3 candidates
  [6] Exploit
      COOKIE! #14 user=admin 0xFF*256/rsa-sha256
        wordpress_logged_in_abc123=admin%7C1753...
        wp-admin accessible
          user=admin  [email protected]
          users.php -> Admin
  [7] Shell upload
      M1: plugin uploaded
      SHELL (M1-plugin): https://target.com/wp-content/plugins/nxproof/Nx.php
        -> Nx-zD Linux target 6.1.0 x86_64 uid=33(www-data) ...