🚨 CVE-2026-15038 — Toma de Control de Administrador en InfiniteWP Client

Toma de Control de Cuenta de Administrador sin Autenticación en WordPress Multisite

📋 Visión General

El plugin InfiniteWP Client para WordPress (< 1.13.6) contiene una vulnerabilidad crítica de omisión de autenticación que afecta a instalaciones Multisite.

Un atacante no autenticado puede:

🔓 Omitir todas las comprobaciones de autenticación
🔑 Vincular sus propias claves criptográficas
👑 Tomar control de sesiones de administrador
💻 Lograr Ejecución Remota de Código (RCE)
🌐 Comprometer toda la Red de WordPress

🔍 Análisis de Causa Raíz

🐛 Bug #1: Desajuste de Estado de Conexión

if (!$iwp_mmb_core->get_option('iwp_client_action_message_id') 
    && !$iwp_mmb_core->get_option('iwp_client_public_key'))

Lector: Usa get_site_option() → lee desde el nivel de red (wp_sitemeta)
Escritor: Usa update_blog_option() → escribe en cada blog (wp_X_options)

💥 Resultado: En Multisite, la protección siempre devuelve false — el re-vinculado siempre está permitido.

🐛 Bug #2: Omisión de la Clave de Activación

if(trim($activation_key) != get_option('iwp_client_activate_key')){

Después de la activación, la clave se elimina → get_option() devuelve false
El atacante no envía activation_key → trim(null) → ''
Comparación flexible de PHP: '' != false → false → La comprobación pasa 🎯

🐛 Bug #3: Par de Claves Controlado por el Atacante

El atacante genera su propio par de claves RSA
Firma las solicitudes él mismo → openssl_verify() pasa
El plugin vincula la clave del atacante a TODOS los blogs de la red

🚀 Cadena de Explotación

graph LR
    A[Send POST Request] --> B[Add Site Action]
    B --> C[Guard Bypassed]
    C --> D[Activation Key Check Fails]
    D --> E[Signature Verifies]
    E --> F[Attacker Key Bound]
    F --> G[Full Admin Access]
    G --> H[RCE Achieved]

💻 Instalación

# Clone the repository
git clone https://github.com/yourusername/CVE-2026-15038.git
cd CVE-2026-15038

# Install dependencies
pip install -r requirements.txt

🎯 Uso

Objetivo Único Básico

python3 exploit.py -t https://wordpress.ddev.site

Explotación Masiva

python3 exploit.py -t https://target1.com -t https://target2.com -t https://target3.com

Ejecución de Comandos Personalizados

python3 exploit.py -t https://wordpress.ddev.site --command "wp plugin install hello-dolly --activate"

Cadena de Ataque Completa

python3 exploit.py -t https://wordpress.ddev.site --takeover --rce

📂 Estructura de Archivos

Archivo	Descripción
`exploit.py`	🐍 Script de explotación principal con soporte de explotación masiva
`requirements.txt`	📦 Dependencias de Python
`README.md`	📖 Esta documentación

⚠️ Notas Importantes

✅ Funciona en instalaciones de WordPress Multisite
❌ No es efectivo en instalaciones de sitio único
🔒 Corregido en InfiniteWP Client 1.13.6
🔐 Actualiza siempre a la última versión

🛡️ Mitigación

Acción Inmediata: Actualizar a InfiniteWP Client ≥ 1.13.6
Verificar: Comprobar si hay usuarios administradores sospechosos
Auditar: Revisar las solicitudes add_site recientes en los registros
Monitorear: Vigilar actividades inusuales del plugin

🔗 Recursos

⚖️ Descargo de Responsabilidad

Esta herramienta es solo para fines educativos y de pruebas de seguridad. Úsala únicamente en sistemas que poseas o para los que tengas permiso explícito de prueba. Los autores no asumen ninguna responsabilidad por su uso indebido.

By-Poloss..-..CVE-2026-15038-POC

Más Populares