アドバイザリ（ソースマップより）

PHP オブジェクトインジェクションは contact meta に対する maybe_unserialize であり、ajax action= ではない。HTTP は REST mint-form-submit。PHP メソッド名は action= ではない。

エントリ

• Method: POST
• Path: /?rest_route=/mint-mail/v1/mint-form-submit
• Router: REST mint-mail/v1/mint-form-submit (FormSubmissionController::mrm_submit_form)。permission_callback は常に true。wp_nonce は wp_rest (uid 0)。post_data はクエリ文字列のフォームフィールド。
• Notes: CVE-2026-84753 CWE-502: 未認証のフォームフィールドが contact meta として保存され、その後 ContactModel::safe_unserialize_meta() がそれらを maybe_unserialize() する（オブジェクトは is_array による破棄の前にインスタンス化される）。1.31.1 は is_serialized() 入力を拒否し、allowed_classes=>false を使用する。ラボのシードは mint_forms id=1 とページスラッグ mm-lab-nonce を MM_NONCE= とともに挿入する。同じメールアドレスで 2 回送信し、2 回目のリクエストが ContactModel::get に到達するようにする。証拠は 500/JSON エラーまたは debug.log 内の一意のクラス名 POCWitness84753 であり、リバースシェルではない。最初の POST がペイロードを保存し、2 回目の POST がそれをアンシリアライズする。

コールチェーン

• GET /?rest_route=/wp/v2/pages&slug=mm-lab-nonce → MM_NONCE
• POST mint-mail/v1/mint-form-submit post_data email+form_id+serialized extra field
• FormAction::handle_form_submission stores meta verbatim (FormAction.php:58-64, 265)
• second POST existing contact → ContactModel::get → safe_unserialize_meta maybe_unserialize (ContactModel.php:1552-1557)
• object __wakeup/__destruct / unknown class error

ラボの前提条件

• mail-mint 1.31.0 が有効な WordPress
• mint_forms 行 id=1 status published
• 公開 MM_NONCE= uid 0 用の wp_rest nonce
• ダブルオプトインが無効化されており、WPMailMailer is_plugin_active() が meta 保存前に fatal にならない
• ラボの mu-plugin カナリアクラス POCWitness84753（wakeup/destruct が名前をログに記録する。ガジェットチェーンではない）

証拠

レスポンスまたは debug.log に POCWitness84753 が含まれる（アンシリアライズ中の未知のクラス）。テーマの HTML、nonce ボットメッセージ、またはクラスエラーのない成功 JSON はオブジェクトインジェクションの証拠ではない。

成功ではないもの

• 一般的な 200 hello world HTML
• Seems like you are a bot
• Form is not valid / Email Field Not found
• アンシリアライズエラーのない status success（ペイロードがインスタンス化されていない）
• リバースシェルまたはアウトバウンド接続

パッチ / 修復

まずこれを実行: Mail Mint を 1.31.1 以降に更新する。

アップグレード後の確認

• パッチ適用済みビルドに対して CVE-2026-84753-Abraxas-Labs.py を再実行する: マッピングされた証拠が出現しないことを確認する。
• デプロイされたツリー内のベンダーアドバイザリ / チェンジセットを確認する（参考文献を参照）。
• WAF シグネチャは遅延であり、パッチではない。

すぐに更新できない場合

• 影響を受けるコンポーネントを無効化または隔離する。
• 本番環境で証拠条件を探す（新たな特権ユーザー、予期しないファイル、注入された行など、この CVE のマップが示すもの）。

再現（許可されたラボ）

http://127.0.0.1:8088（またはバインドしたループバック）のみを対象とする。このスクリプトをインターネットに向けないこと。

成功とは、レスポンスボディ内の上記の証拠である。一般的な 200 HTML はそうではない。

ラボイメージ

再現に使用したループバックスタック。このフォルダ内の Dockerfile がソースからビルドする場合を除き、公式イメージ。

• lab/docker-compose.yml
• lab/docker-compose.override.yml
• lab/Dockerfile

YAML がローカルディレクトリをマウントする場合（バージョンテーブルからのプラグイン zip / ソースタグ）、脆弱な製品ツリーを Compose の隣にバインドする。127.0.0.1 以外は公開しないこと。

参考文献

• CVE-2026-84753 · NVD

• CVE-2026-84753 · CVE.org

• patchstack.com/database/wordpress/plugin/mail-mint/vulnerability/wordpress-mail-mint-plugin-1-31-0-php-object-injection-vulnerability?_s_id=cve

• github.com/advisories/GHSA-28vg-wv39-3g8h

• nvd.nist.gov/vuln/detail/CVE-2026-84753

• プラグインディレクトリ: mail-mint

• Trac ブラウザ: plugins.trac.wordpress.org/mail-mint

• SVN タグ: plugins.svn.wordpress.org/mail-mint

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

レコード（構造化）

免責事項

このパックはベンダー、サイト所有者、およびライセンスを受けたラボ向けである。スクリプトは 127.0.0.1 と通信する。所有していないシステムに対して使用することは Abraxas Labs によって許可されていない。保証はない。

abraxaslabs.tech · github.com/abraxas · @abraxas_null