🚨 CVE-2026-15038 — InfiniteWP Client एडमिन अधिग्रहण

WordPress मल्टीसाइट में अनप्रमाणित एडमिन खाता अधिग्रहण

📋 अवलोकन

WordPress के लिए InfiniteWP Client प्लगइन (< 1.13.6) में एक गंभीर प्रमाणीकरण बायपास भेद्यता है जो मल्टीसाइट इंस्टॉलेशन को प्रभावित करती है।

एक अनप्रमाणित हमलावर यह कर सकता है:

🔓 सभी प्रमाणीकरण जाँचों को बायपास करना
🔑 अपनी स्वयं की क्रिप्टोग्राफ़िक कुंजियाँ बाँधना
👑 एडमिन सत्रों पर कब्ज़ा करना
💻 रिमोट कोड निष्पादन (RCE) प्राप्त करना
🌐 पूरे WordPress नेटवर्क से समझौता करना

🔍 मूल कारण विश्लेषण

🐛 बग #1: कनेक्शन स्थिति बेमेल

if (!$iwp_mmb_core->get_option('iwp_client_action_message_id') 
    && !$iwp_mmb_core->get_option('iwp_client_public_key'))

रीडर: get_site_option() का उपयोग करता है → नेटवर्क-स्तर (wp_sitemeta) से पढ़ता है
राइटर: update_blog_option() का उपयोग करता है → प्रति-ब्लॉग (wp_X_options) में लिखता है

💥 परिणाम: मल्टीसाइट पर, गार्ड हमेशा false लौटाता है — पुनः-पेयरिंग हमेशा अनुमत होती है।

🐛 बग #2: सक्रियण कुंजी बायपास

if(trim($activation_key) != get_option('iwp_client_activate_key')){

सक्रियण के बाद, कुंजी हटा दी जाती है → get_option() false लौटाता है
हमलावर कोई activation_key नहीं भेजता → trim(null) → ''
PHP ढीली तुलना: '' != false → false → जाँच पास हो जाती है 🎯

🐛 बग #3: हमलावर-नियंत्रित कुंजी-युग्म

हमलावर अपना स्वयं का RSA कुंजी-युग्म उत्पन्न करता है
स्वयं अनुरोधों पर हस्ताक्षर करता है → openssl_verify() पास हो जाता है
प्लगइन हमलावर की कुंजी को नेटवर्क के सभी ब्लॉगों से बाँध देता है

🚀 शोषण श्रृंखला

graph LR
    A[Send POST Request] --> B[Add Site Action]
    B --> C[Guard Bypassed]
    C --> D[Activation Key Check Fails]
    D --> E[Signature Verifies]
    E --> F[Attacker Key Bound]
    F --> G[Full Admin Access]
    G --> H[RCE Achieved]

💻 स्थापना

# Clone the repository
git clone https://github.com/yourusername/CVE-2026-15038.git
cd CVE-2026-15038

# Install dependencies
pip install -r requirements.txt

🎯 उपयोग

बुनियादी एकल लक्ष्य

python3 exploit.py -t https://wordpress.ddev.site

सामूहिक शोषण

python3 exploit.py -t https://target1.com -t https://target2.com -t https://target3.com

कस्टम कमांड निष्पादन

python3 exploit.py -t https://wordpress.ddev.site --command "wp plugin install hello-dolly --activate"

पूर्ण हमला श्रृंखला

python3 exploit.py -t https://wordpress.ddev.site --takeover --rce

📂 फ़ाइल संरचना

फ़ाइल	विवरण
`exploit.py`	🐍 सामूहिक शोषण समर्थन वाली मुख्य शोषण स्क्रिप्ट
`requirements.txt`	📦 Python निर्भरताएँ
`README.md`	📖 यह दस्तावेज़

⚠️ महत्वपूर्ण नोट्स

✅ WordPress मल्टीसाइट इंस्टॉलेशन पर काम करता है
❌ एकल-साइट इंस्टॉलेशन पर प्रभावी नहीं
🔒 InfiniteWP Client 1.13.6 में पैच किया गया
🔐 हमेशा नवीनतम संस्करण में अपडेट करें

🛡️ शमन

तत्काल कार्रवाई: InfiniteWP Client ≥ 1.13.6 में अपडेट करें
सत्यापित करें: संदिग्ध एडमिन उपयोगकर्ताओं की जाँच करें
ऑडिट: लॉग्स में हाल के add_site अनुरोधों की समीक्षा करें
निगरानी: असामान्य प्लगइन गतिविधि पर नज़र रखें

🔗 संसाधन

⚖️ अस्वीकरण

यह उपकरण केवल शैक्षिक और सुरक्षा परीक्षण उद्देश्यों के लिए है। इसका उपयोग केवल उन प्रणालियों पर करें जिनके स्वामी आप हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट अनुमति है। लेखक दुरुपयोग के लिए कोई दायित्व नहीं लेते हैं।

By-Poloss..-..CVE-2026-15038-POC

सबसे लोकप्रिय