POC-AIOWPM-CVE-2026-19949

Reproducible proof-of-concept basé sur Docker pour CVE-2026-19949, une injection SQL de second ordre dans All-in-One WP Migration <= 7.109 qui divulgue la ai1wm_secret_key via l'API REST anonyme et permet une escalade vers l'exécution de code à distance.

⚠️ Usage exclusivement éducatif et défensif. Ce laboratoire attaque un site WordPress qui tourne sur votre propre machine, dans des conteneurs Docker. Ne l'utilisez pas contre des systèmes qui ne vous appartiennent pas ou pour lesquels vous n'avez pas d'autorisation explicite.

Sommaire

1. Résumé de la vulnérabilité
2. Cause racine : le regex qui inverse la chaîne
3. Le correctif (7.109 → 7.110)
4. Chaîne d'attaque complète
5. Le payload dérivé (conception propre)
6. Ce que ce dépôt reproduit et vérifie
7. Compatibilité des versions (vérifiée)
8. Structure du dépôt
9. Prérequis et démarrage rapide
10. Phases pas à pas (cibles make)
11. CLI de démonstration
12. Landing du CVE
13. Détection et atténuation
14. Notes de recherche
15. Références
16. Avis légal

1. Résumé de la vulnérabilité

Le flux d'exportation/importation du plugin vide la base de données en SQL (database.sql dans le .wpress) puis, lors de l'importation, réécrit chaque instruction avec Ai1wm_Database::replace_table_values() pour remplacer les URLs et les préfixes de table. Pour localiser les littéraux de chaîne, il utilise le regex :```php // 7.109 (vulnerable) — class-ai1wm-database.php:1637 preg_replace_callback( "/'(.*?)(?<!\\)'/S", array( $this, 'replace_table_values_callback' ), $input );

L'auteur se termine par \ au niveau des données → le dump l'écrit comme \\ → la guillemet de fermeture est précédée d'un run pair. Le regex sur-capture jusqu'à la guillemet d'ouverture du champ suivant et le callback ré-échappe l'ensemble :``` 'Jack Blogs\\',' ← contenido sobre-capturado unescape → 'Jack Blogs\',' ← strtr colapsa los pares escape → 'Jack Blogs\\', ← una comilla ESCAPADA nueva ha aparecido salida → 'Jack Blogs\\','…' ← el par \ , ' voltea el límite de la cadena

The new pattern tokenizes MySQL literals correctly: either a character that is not a quote/backslash, or an escape pair \x, with possessive quantifiers. A run of paired backslashes no longer confuses the closing of the literal.

4. Complete attack chain

The chain published by Wordfence (Sept. 2026) has four steps:

1. Planting (unauthenticated) — the attacker sends trackbacks to a public post with open pings (wp-trackback.php?p=<id>). The blog name (→ comment_author) ends in \ and the URL (→ comment_author_url) carries the payload. WordPress stores them without touching the slash. In the published variant, the first trackback acts as a time bomb: it forces the cut of the import pass (10 s limit) so that the payload executes in a later pass, when the importer has already restored the site's ai1wm_secret_key in wp_options (the exporter excludes it from the dump; the importer rewrites it between passes).
2. Trigger (admin action) — an administrator exports and restores the site. During import, the vulnerable regex rewrites the trackback row: the string limit is flipped and the payload becomes executable SQL.
3. Exfiltration — the payload copies ai1wm_secret_key to an approved comment of type comment, visible in the comments REST API without authentication.
4. RCE — admin-ajax.php?action=ai1wm_import is also registered for anonymous users (wp_ajax_nopriv_ai1wm_import) and its only barrier is ai1wm_verify_secret_key(). With the leaked key, the attacker drives the import chain with their own .wpress that includes a mu-plugin; the Ai1wm_Import_Mu_Plugins step (priority 270 of the chain) extracts it to wp-content/mu-plugins/ → code execution on the next load.

This repository verifies the chain end to end with a single planted trackback (the time bomb is not necessary in the lab: the row executes in a later pass after the key reset).

5. The derived payload (own design)

The researcher's exact exploit is not public (exhaustive search on 2026-09-07: GitHub — the 2 existing repos are an empty template and a mass tool with nonexistent endpoints —, Exploit-DB/PacketStorm 0, Sploitus only indexes those fake repos, WPScan without PoC, forums only news; forensic detail in research/poc-publica/ANALISIS.md).

We derived it ourselves from the analysis of the mechanism (exploit/investigacion/). Design:

1. The blog name ends in \ → the one-byte lookbehind of the vulnerable regex over-captures the following literal and the unescape→escape cycle flips the string limit.
2. After the flip, the attacker's URL remains as bare SQL code in the INSERT statement (the merged comment_author and a , string absorb the offset; a leading comma in the URL restores the devoured structural separator).
3. The URL provides the 12 remaining expressions of the tuple with hex literals and /**/ as separators:
   • a quote from the data reaches the dump as \' and in code zone would leave an orphan slash (error 1064) → hence the hex (0x616931776d… = "ai1wm_secret_key");
   • sanitize_url removes spaces (and prepends http:// to anything that does not start with /) → hence the /*pwn*/ start and the /**/;
   • column mapping: the 5th (comment_author_url) = the subquery that reads the key → the key ends up in a public field; the 11th = 0x31 ('1', approved comment); the 13th = 0x636f6d6d656e74 ('comment', visible in the anonymous REST);
   • ) closes the tuple with exactly 15 values and # (MySQL comment without space, which sanitize_url respects) neutralizes the rest of the original statement.
4. The subquery references SERVMASK_PREFIX_options: the importer rewrites the SERVMASK→real prefixes before the regex pass, so the payload works on sites with any table prefix (verified). The only target-specific data is its URL, carried in the excerpt to trigger the importer's strpos filter (it only rewrites lines containing it).

The resulting statement (the one MySQL executes during restoration): comment_author_url = (SELECT option_value FROM <prefix>_options WHERE option_name='ai1wm_secret_key') — the authentic key ends up in a field that the REST API publishes without authentication.

6. What this repository reproduces and verifies

Verified end-to-end result: after the admin's export+restore, the authentic ai1wm_secret_key appears as the author_url of an approved comment in GET /wp-json/wp/v2/comments — with no authentication whatsoever — and with it the RCE phase executes (mu-plugin extracted and executed, evidence markers in wp-content/). In 7.110 the row survives intact (the payload remains as inert data) and there is no leak.

The RCE phase is also demonstrated independently: its only input is the key, which can be passed by hand (make rce KEY=…) — the attacker's exact state after the leak.

7. Version compatibility (verified)

Matrix run with bash research/test-wp-versions.sh 7.0 6.9 6.8 (lab rebuilt per version, plugin 7.109, identical payload):

The mechanics are stable in all: sanitize_url respects the payload, wp_comments keeps the 15 columns and wp-trackback.php remains operational. The payload is independent of the table prefix (see §5).

8. Repository structure```

docker-compose.yml WordPress (php8.2-apache) + MySQL 8; PLUGIN_VERSION y WP_VERSION configurables (7.109 por defecto, 7.110 control) docker/wordpress/Dockerfile imagen del sitio víctima: wp-cli + plugin de WordPress.org setup/init.sh core install, activa el plugin, crea la entrada con pings abiertos, comentarios sin moderación exploit/ ← fases numeradas de la PoC 01_plant_trackback.sh Fase 1 — trackback malicioso (no autenticado) 02_export.sh Fase 2a — export del admin (vía aiowpm_client) 03_restore.sh Fase 2b — restauración del admin + ANTES/DESPUÉS de la fila 04_demo_flip.php Causa raíz byte a byte: regex 7.109 vs 7.110 05_build_wpress.py Construye el .wpress malicioso (package.json + mu-plugin) 06_rce_unauth.py Fase 3 — import no autenticada con la clave → RCE 07_leak_key.sh Fase 3a — lee la clave filtrada de la REST anónima aiowpm_client.py Cliente del protocolo AJAX del plugin (export/import por prioridades, como su JavaScript) wpress.py Lector/escritor del formato .wpress (bloques de 4377 B) mu_plugin.php Mu-plugin BENIGNO (marcadores de evidencia, sin shell) investigacion/ Arneses y fuzzers con los que se DERIVÓ el payload: harness.php (pipeline real del plugin + MySQL de prueba), afinar/test/fuzzers, NOTAS.md del análisis cli/poc.py CLI de demostración: lab / scan / verificar / explotar web/index.html Landing bilingüe del CVE (estilo base de datos de vulnerabilidades; sin dependencias externas) research/ test-wp-versions.sh Matriz de compatibilidad por versión de WordPress poc-publica/ANALISIS.md Refutación forense de las «PoC públicas» falsas Makefile Objetivos: lab, plant, export, restore, demo-flip, leak, rce-auto, full-demo, control-7110, demo-cli… README.md / README.en.md Esta documentación (ES/EN) .gitignore Fuera: informes con claves, .wpress generados, zips y fuentes del plugin (terceros), PoC falsas descargadas

Sortie attendue (résumée) :``` FASE 1 trackback plantado sin autenticar (error 0, comment_approved=1) FASE 2a export OK → .wpress en ai1wm-backups/ FASE 2b restauración: ANTES hay 2 trackbacks → DESPUÉS solo queda el benigno: la fila con '' final se pierde (INSERT reescrito/corrupto en 7.109) FLIP regex 7.109: 'Jack Blogs\\', → 'Jack Blogs\\',' (límite volteado) regex 7.110: la línea sale IDÉNTICA LEAK ai1wm_secret_key visible en la REST de comentarios sin autenticar RCE import anónima con la clave → /var/www/html/PWNED_CVE_2026_19949.txt + wp-content/mu-plugins/pwned.php + option pwned_cve_2026_19949

11. CLI de démonstration

Une seule commande avec tous les modes ; génère des rapports dans informes/ (texte + JSON ; le dossier est hors du dépôt car il contient des clés) :```bash python3 cli/poc.py lab # demo completa en el laboratorio (cadena + control 7.110) python3 cli/poc.py scan https://www.tudominio.com # detección NO invasiva (versión del plugin) python3 cli/poc.py verificar https://www.tudominio.com # ¿clave ya filtrada? (REST anónima) python3 cli/poc.py explotar https://www.tudominio.com --acepto-responsabilidad
--admin-user TU_ADMIN --admin-pass TU_CLAVE --rce # cadena completa en TU dominio

Sans dépendances externes (ni CDN ni JS tiers) : fonctionne en ouvrant web/index.html directement ou avec n’importe quel serveur statique.

13. Détection et atténuation

• Mettre à jour All-in-One WP Migration and Backup vers ≥ 7.110 (l’ atténuation est le correctif du regex lui-même).
• Mesures défensives supplémentaires : désactiver wp-trackback.php et les pingbacks (options de discussion / WAF), restreindre admin-ajax.php pour les anonymes lorsque c’est possible, et surveiller l’apparition de fichiers dans wp-content/mu-plugins/ et de l’option ai1wm_secret_key dans des contextes anormaux (p. ex. commentaires).
• IOC (à des fins de détection) : commentaires trackback dont le comment_author se termine par \ ou dont le comment_author_url contient SELECT/**/, CONCAT(, des littéraux 0x… longs ou /*…*/ ; commentaires approuvés dont le author_url est une chaîne alphanumérique de 12 caractères sans schéma.

14. Notes de recherche

• Dérivation du payload (exploit/investigacion/) : nous partons d’un harnais (harness.php) qui charge les classes RÉELLES du plugin 7.109 et exécute le pipeline contre un MySQL de test avec une clé factice. Les fuzzers (search_payload.php, fuzz_rows.php, fuzz4.php, bruteforce_author.php) ont exploré des alphabets critiques sur les quatre champs contrôlables du trackback ; afinar_payload.php a ajusté le nombre d’ expressions (N=12) et test_payload_final.php a validé la conception complète. NOTAS.md recueille l’analyse, y compris les murs structurels (champs fixes de l’INSERT de wp_comments, sql_mode imposé par l’importateur, filtre strpos de l’URL du site).
• Aucun exploit public réel (research/poc-publica/ANALISIS.md) : les deux dépôts GitHub qui prétendent le détenir utilisent des endpoints inexistants (aio-migration/v1 avec permission_callback vs le ai1wm/v1 réel), un champ d’upload erroné (file vs upload_file), un format ZIP au lieu de .wpress, et une prémisse circulaire. Aucune source tierce n’a de PoC propre.
• L’exploit public de cette PoC dérive du mécanisme, il n’a été copié de personne : c’est une vérification indépendante que la chaîne publiée par Wordfence est exploitable telle que décrite.

15. Références

• Wordfence — 5 Million WordPress Sites Affected by SQL Injection Vulnerability in All-in-One WP Migration and Backup WordPress Plugin (septembre 2026)
• Entrée du CVE : https://nvd.nist.gov/vuln/detail/CVE-2026-19949
• WPScan — All-in-One WP Migration and Backup < 7.110 — Unauthenticated Second-Order SQLi — https://wpscan.com/vulnerability/03fc9f1a-5199-40fa-960d-75a266eb7e95/
• Correctif 7.110 : https://downloads.wordpress.org/plugin/all-in-one-wp-migration.7.110.zip (le diff vulnérable→corrigé se trouve dans lib/vendor/servmask/database/ class-ai1wm-database.php:1637 ; les sources extraites vivent dans plugin-src/, non partagées)

16. Avis légal

Ce matériel est publié à des fins éducatives et défensives : comprendre la vulnérabilité, vérifier le correctif et construire des détections. La chaîne n’a été exécutée que contre des laboratoires Docker personnels. Attaquer des systèmes tiers sans autorisation écrite est illégal dans la plupart des juridictions. Si vous administrez des sites affectés : mettez à jour vers ≥ 7.110, faites pivoter la ai1wm_secret_key (désactivez/réactivez le plugin ou supprimez l’option pour qu’elle se régénère) et auditez wp-content/mu-plugins/ et les commentaires récents.