CVE-2026-15981

SAML Single Sign On <= 5.4.4 - Bypass dell'autenticazione non autenticato tramite il parametro SAMLResponse

CVE-2026-15981

SAML Single Sign On ≤ 5.4.4 — Bypass dell'autenticazione non autenticato

Exploit Proof-of-Concept
_{Firma malformata → openssl_verify() restituisce -1 → cast lasco PHP a true → wp_set_auth_cookie() come Amministratore}

---

Panoramica della Vulnerabilità

Campo	Dettaglio
CVE ID	CVE-2026-15981
Plugin interessato	miniOrange SAML 2.0 Single Sign On – SSO Login (WordPress)
Versioni interessate	Tutte le versioni fino alla 5.4.4 inclusa
Tipo	Bypass dell'autenticazione non autenticato
CWE	CWE-287: Autenticazione impropria / CWE-305: Bypass dell'autenticazione tramite debolezza primaria
CVSS 3.1	9.8 CRITICO — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Autenticazione	Non richiesta

Descrizione

Il plugin SAML Single Sign On – SSO Login per WordPress è vulnerabile al Bypass dell'autenticazione in tutte le versioni fino alla 5.4.4 inclusa. Ciò è dovuto alla funzione mo_saml_validate_signature() che esegue un controllo booleano lasco sull'intero grezzo a tre stati restituito da openssl_verify() di PHP, facendo sì che un valore di errore pari a -1 venga valutato come truthy e quindi trattato come una verifica della firma riuscita.

Ciò consente ad attaccanti non autenticati di accedere come qualsiasi utente WordPress esistente, inclusi gli amministratori, inviando una SAMLResponse appositamente predisposta contenente un NameID controllato dall'attaccante e un valore di firma deliberatamente malformato che innesca un errore di elaborazione OpenSSL — bypassando completamente la verifica e portando alla chiamata di wp_set_auth_cookie() per l'account preso di mira.

Causa Radice

Attacker sends crafted SAMLResponse
         │
         ▼
mo_saml_validate_signature()
         │
         ▼
openssl_verify($data, $malformed_sig, $key)
         │
         ├─ Returns  1  → valid signature      ✓
         ├─ Returns  0  → invalid signature     ✗
         └─ Returns -1  → OpenSSL internal error
                │
                ▼
     PHP loose comparison:  if ($result)
                │
                ├─ (int) 1   → true   ✓
                ├─ (int) 0   → false  ✓
                └─ (int) -1  → true   ← BUG: error treated as success
                       │
                       ▼
             wp_set_auth_cookie() called
                       │
                       ▼
             Attacker is now Administrator

La correzione è banale — if ($result === 1) invece di if ($result) — ma l'impatto della falla è il bypass totale dell'autenticazione.

---

Funzionalità

• Scansione massiva multi-target — elaborazione concorrente degli elenchi di target
• Fingerprinting WordPress completo — conferma WordPress prima di procedere
• Rilevamento plugin e controllo versione — identifica miniOrange SAML SSO e valida la versione ≤ 5.4.4
• Rilevamento dei metadati SP — estrae Entity ID e URL ACS da ?option=mosaml_metadata
• Enumerazione completa degli utenti:
  • WP REST API (/wp-json/wp/v2/users)
  • Query REST per singolo ID (ID 1–10)
  • Reindirizzamenti agli archivi autore (/?author=N)
  • Corrispondenza di pattern nel corpo HTML
  • Fallback basato sul dominio + nomi admin comuni
• Rilevamento dell'issuer IdP — segue i reindirizzamenti di ?option=saml_user_login ed estrae gli URL base IdP
• Motore di falsificazione della SAMLResponse:
  • Corretta canonicalizzazione Exclusive C14N tramite lxml
  • Corretto calcolo del Digest (SHA-1/SHA-256/SHA-384/SHA-512)
  • Iniezione dell'elemento firma dopo </Issuer> secondo la specifica SAML
  • 12+ payload di firma malformati progettati per innescare openssl_verify() = -1
  • Itera su utenti × issuer × algoritmi × firme × flag audience × ID entità SP
• Verifica della sessione — controlla il cookie wordpress_logged_in_* dopo ogni tentativo
• Conferma del ruolo admin — verifica l'accesso a /wp-admin/, /wp-admin/users.php, /wp-admin/plugins.php
• Estrazione del profilo — legge nome utente ed email da /wp-admin/profile.php
• 4 metodi di upload della shell in caso di sessione admin:
  • M1 — Upload ZIP del plugin tramite plugin-install.php
  • M2 — Upload del plugin tramite API REST /wp-json/wp/v2/plugins
  • M3 — Scrittura di file tramite l'editor di temi/plugin
  • M4 — Upload asincrono dei media
• Verifica dell'esecuzione della shell — conferma la firma Nx-zD nel corpo della risposta
• Motore diagnostico — classifica i motivi degli errori (DIGEST_FAIL, ISSUER, AUDIENCE, TIME, ecc.)
• Output JSON di debug — log diagnostico completo per ogni target, per l'analisi

---

Requisiti

Python >= 3.8

pip install requests lxml

lxml è necessario per una corretta canonicalizzazione Exclusive C14N dell'asserzione SAML.

---

Utilizzo

python CVE-2026-15981.py

Ti verrà chiesto di fornire:

Richiesta	Descrizione	Predefinito
File dei target	Percorso di un file di testo con un target per riga	list.txt
Thread	Numero di worker concorrenti (1–100)	5

Formato del File dei Target

https://example.com
http://target.org
subdomain.example.net
192.168.1.100
https://example.com/wordpress

Un URL per riga. Se non viene specificato alcuno schema, viene utilizzato HTTP per impostazione predefinita.

---

Output

Terminale

  ███████╗███╗   ███╗███████╗
  ██╔════╝████╗ ████║██╔════╝
  ███████╗██╔████╔██║███████╗
  ╚════██║██║╚██╔╝██║╚════██║
  ███████║██║ ╚═╝ ██║███████║
  ╚══════╝╚═╝     ╚═╝╚══════╝
   ╔══════════════════════════════════════════════════════════╗
   ║  miniOrange SAML SSO <= 5.4.4                           ║
   ║  openssl_verify() -1 Bypass -> Admin Session            ║
   ╚══════════════════════════════════════════════════════════╝
  By: Nxploited ( Khaled Alenazi ) - Nxploited ZeroDay Hub
  T.m @Kxploit

Ogni target avanza attraverso 7 fasi etichettate:

  ============================================================
    target.com
  ============================================================
  [1] WordPress
      confirmed
  [2] SAML plugin
      version: 5.4.4
      miniOrange SAML detected
  [3] SP metadata
      metadata entityID: https://target.com/...
      metadata ACS: https://target.com/
  [4] Users
      REST: admin (id=1)
      REST: editor (id=2)
      author/3: johndoe
      4 found: ['admin', 'editor', 'johndoe', 'target']
  [5] Issuers
      SSO redirect found
      3 candidates
  [6] Exploit
      COOKIE! #14 user=admin 0xFF*256/rsa-sha256
        wordpress_logged_in_abc123=admin%7C1753...
        wp-admin accessible
          user=admin  [email protected]
          users.php -> Admin
  [7] Shell upload
      M1: plugin uploaded
      SHELL (M1-plugin): https://target.com/wp-content/plugins/nxproof/Nx.php
        -> Nx-zD Linux target 6.1.0 x86_64 uid=33(www-data) ...