POC-GeoLeak-CVE-2026-52715

PoC fonctionnel de CVE-2026-52715 (GeoLeak): SQLi non authentifiée dans GEO my WordPress <= 4.5.5 via swlatlng/nelatlng. Laboratoire Docker + exploit time-based/boolean-based + exfiltration sans virgules dans le payload.

La chaîne baptisée GeoLeak démontre comment, en partant uniquement d'un accès en lecture à n'importe quelle page publique contenant le shortcode [gmw], un attaquant peut :

1. Injecter du SQL arbitraire via le paramètre swlatlng (ou nelatlng) de la chaîne de requête, sans cookies, sans nonce et sans authentification.
2. Provoquer des délais mesurables avec SLEEP() (time-based blind) évalué pour chaque ligne de l'INNER JOIN avec wp_gmw_locations.
3. Utiliser l'oracle "total_results":N que le plugin lui-même intègre dans le JSON de configuration de la carte pour déduire des conditions booléennes (boolean-based blind).
4. Exfiltrer la base de données complète caractère par caractère en contournant la restriction selon laquelle le payload ne peut pas contenir de virgules (PHP découpe la valeur avec explode(',', ...)), à l'aide de CASE WHEN et de SUBSTRING(x FROM n FOR 1).

Le résultat est une lecture arbitraire de la base de données WordPress : table wp_users (hashes de mots de passe), options de configuration, clés et données tierces stockées dans les plugins.

Dans la PoC, l'extraction complète de VERSION() de MariaDB est vérifiée uniquement avec des requêtes GET.

Avis légal

Ce dépôt contient du matériel strictement éducatif et défensif.

• Objectif : démontrer la chaîne d'exploitation à des fins de formation, d'audit interne et de validation de correctifs.
• Utilisation autorisée : exécutez-le uniquement contre des systèmes qui vous appartiennent ou pour lesquels vous disposez d'une autorisation écrite explicite. Le laboratoire Docker inclus est le seul environnement prévu.
• Interdit : toute utilisation contre des systèmes tiers sans consentement. L'auteur du dépôt décline toute responsabilité en cas d'utilisation abusive du matériel inclus.
• Responsabilité : l'opérateur est le seul responsable du respect de la législation applicable (LOPD/RGPD en Espagne, CFAA aux États-Unis, etc.).

Architecture de la chaîne

Prérequis

• Docker et Docker Compose (testé avec Docker 29.4.1 / Compose v5.2.0)
• curl et awk pour l'exploit
• Port 3080 libre (ou modifiez le mappage dans docker-compose.yml)

Structure du dépôt

Guide rapide d'utilisation

Paramètres configurables de l'exploit :

Accès à WordPress : http://localhost:3080 avec admin/admin. La page contenant le formulaire vulnérable est http://localhost:3080/?page_id=5.

Remarque : la ligne seed dans wp_gmw_locations est indispensable. La requête utilise un INNER JOIN contre cette table : sans lignes, le WHERE injecté n'est pas évalué et SLEEP() ne dort pas.

Vérification de l'exploitation

Sortie réelle de la dernière exécution contre le laboratoire (14 août 2026) :

Vérification croisée directement contre la base de données :

Contre la version corrigée (>= 4.5.5.1), la phase time-based répond en millisecondes et la PoC se termine avec [-] No se detecto retardo (objetivo posiblemente parcheado >= 4.5.5.1).

Analyse technique

Détail complet, avec les extraits de code et les lignes exactes, dans docs/analisis-tecnico.md. Points clés :

• Sink : gmw_get_locations_within_boundaries_sql() interpole {$sw[0]}, {$sw[1]}, {$ne[0]}, {$ne[1]} directement dans le WHERE (les quatre points sont injectables).
• Source : gmw_get_form_values() traite la chaîne de requête complète avec parse_str() sans liste autorisée.
• Restriction de l'exploit : le payload ne peut pas contenir de virgules car PHP effectue explode(',', $southwest). La PoC utilise CASE WHEN a THEN b ELSE c END au lieu de IF(a,b,c) et SUBSTRING(x FROM n FOR 1) au lieu de SUBSTRING(x,n,1).
• Oracle booléen : le JSON embarqué de la carte expose "total_results":N ; l'exploit calibre la plage de longueur (-10..1) pour que la ligne seed survive lorsque la condition est vraie.
• Techniques : time-based et boolean-based vérifiées ; UNION-based théorique (il faut aligner les colonnes de wp_posts.* plus les champs gmw) ; error-based non pratique (wpdb masque les erreurs).
• Endpoints AJAX écartés : les trois handlers wp_ajax_nopriv_* du plugin soit n'exécutent pas de SQL (version gratuite), soit sont protégés par nonce. Le vecteur de la CVE dans la version gratuite est le GET du formulaire.

Le correctif officiel (4.5.5.1)

Diff réel complet dans docs/diff-parche-4.5.5.1-gmw-functions.php.diff. Entre 4.5.5 et 4.5.5.1, seuls trois fichiers diffèrent (geo-my-wp.php de version, readme.txt de changelog et includes/gmw-functions.php) :

1. Nouvelle fonction de validation gmw_parse_latlng_boundary() : exige exactement 2 parties numériques finies avec |lat| <= 90 et |lng| <= 180.
2. gmw_get_form_values() écarte avec unset() les valeurs qui ne valident pas.
3. Le sink est réécrit avec $wpdb->prepare() et des marqueurs %f.

Version actuelle du plugin : 4.5.5.3 (juillet 2026), corrigée.

Atténuation

1. Mettre à jour GEO my WordPress >= 4.5.5.1 (mesure principale).
2. Si une mise à jour immédiate n'est pas possible : règle WAF bloquant les valeurs non numériques dans swlatlng/nelatlng, ou virtual patching (Patchstack et similaires).
3. Vérifier si les formulaires [gmw] publics ont besoin de la recherche par limites de carte.
4. Surveiller les accès avec des motifs swlatlng/nelatlng anormaux dans les journaux.
5. Si le site a été exposé : rotation des secrets et réexamen des hashes de wp_users, l'injection permettant de les lire.

Crédits

• Découverte : le chercheur alvarodh5 (signalé le 10 avril 2026, publié le 15 juin 2026 via Patchstack).
• Fiche de Patchstack
• Fiche NVD CVE-2026-52715
• GEO my WordPress sur wordpress.org

Licence

MIT