HTTPテストは、使い捨てのドナー・ユーザー、メタデータ、GiveWPセッション行を作成します。テスト後は付属のリセットコマンドを使用してください。

クイックスタート

要件:

• Compose v2を備えたDocker
• Python 3.10以降
• curl
• unzip
• sha256sum または shasum
• 公式プラグインアーカイブのための downloads.wordpress.org へのネットワークアクセス

完全な脆弱/パッチ済みマトリックスを実行:

このコマンドは:

1. WordPress.orgからGiveWP 4.16.5.1と4.16.7.2をダウンロードします。
2. 両方のSHA-256ハッシュを検証します。
3. 通常のWordPress登録を明示的に無効化した、ループバック専用の新しいWordPress 6.6.2/PHP 8.1ラボを構築します。
4. 素の4.16.5.1をテストし、Webユーザーによるマーカー作成を要求します。
5. 素の4.16.7.2を使用して2つ目の新しいラボを構築します。
6. HTTPマーカーが存在しないことを要求します。
7. 直接制御でイングレスをバイパスし、パッチ適用済みの ProviderForwarder ターミナルも文字列コーラブルを拒否することを確認します。

パッチ適用済みラボは最後まで実行されたままになります。削除するには:

別のループバックポートを使用するには:

期待される証拠

脆弱なコントロールは、具体的なターミナル証拠で終了する必要があります:

パッチ適用済みコントロールは次のように表示される必要があります:

HTTP 500、保存されたペイロード、例外、またはマーカーなしの検出器ヒットは、RCEの証明として受け入れられません。

手動ラボライフサイクル

脆弱なリリースを起動してテスト:

パッチ適用済みリリースを起動してテスト:

現在の状態を確認:

コンテナ、ボリューム、テストユーザー、セッション、マーカー状態を削除:

キャッシュされたプラグインZIPと展開されたアセットは、再実行を高速化するために保持されます。これらの生成されたアセットも削除するには:

影響を受けるバージョンとテスト済みバージョン

公開アドバイザリは、4.16.7.1までのリリースを影響ありと特定しています。このリポジトリは、その陽性/陰性テストマトリックス内の2つのバージョンのみを直接証明します。

参考文献:

• Patchstackアドバイザリ
• CVE-2026-82222
• GiveWPハードニングコミット
• 公式GiveWPプラグインページ

根本原因

このエクスプロイトは複数の動作を組み合わせます:

1. GiveWP 4.16.5.1は、通常のWordPress登録が無効な場合でも、低権限のドナーを作成して認証する登録アクションを公開します。
2. そのユーザーは自身の名前メタデータにシリアル化されたデータを永続化できます。
3. Give\Helpers\Utils::maybeSafeUnserialize() は allowed_classes => false を使用して __PHP_Incomplete_Class を生成しますが、後続のシリアル化は元のクラス名とプロパティを保持します。
4. グラフはGiveWP購入セッションに保存されます。
5. 後続の無制限の maybe_unserialize() が同梱クラスを復元します。
6. 自動破棄が system() への完全なPOPチェーンに入ります。

HTTPキャリアには4つのリテラルな名前空間バックスラッシュが必要です。2つの実効的なストリッピングパスにより、それらは 4 -> 2 -> 1 に削減されます。ペイロードはNULフリーであり、PHP 8.1.30がプライベートな Session::$attributeName プロパティのプレーンなシリアル化名をハイドレートすることが検証されました。

完全なPOPチェーン

攻撃者制御のグラフ:

重要な隠れた遷移は、PHPの暗黙的な IteratorAggregate ディスパッチです。TCPDF::$imagekeys は型指定がないため、Symfony Session を代入すると foreach が Session::getIterator() を呼び出します。

マーカーコマンドは、Symfonyが getAttributeBag(): AttributeBagInterface の戻り値の型を強制する前に実行されます。結果として生じる TypeError とHTTP 500はポストシンク効果です。

以前の試みが見逃したもの

却下された候補グラフは以下を使用していました:

このグラフは機能しません。TCPDF::_destroy() は objcopy のunsetのみを行います。PHPは自動破棄を __call('__destruct', ...) にルーティングしません。

欠落していた操作は次のとおりです:

以前のレビューはデストラクタと明示的なメソッド呼び出しに従いましたが、foreach によってトリガーされる暗黙的なオブジェクトプロトコルを再帰的に検査しませんでした。Symfony Session が欠落したブリッジを提供します:

• foreach は getIterator() を呼び出します。
• getIterator() は getBag($attributeName) に到達します。
• 攻撃者制御の storage は DonationFactory です。
• 未定義の getBag は ProviderForwarder::__call() を呼び出します。
• loadedProviders['getBag'] = 'system' がコーラブルを選択します。
• attributeName がコマンド引数を提供します。

ソース証拠

関連するGiveWP 4.16.5.1の場所:

公式リリースハッシュ:

ラボは、毎回の新規起動前に検証済みZIPから各プラグインを再抽出し、変更を加えずにWordPressにコピーし、展開された完全なプラグインファイルツリーを検証済みソースとバイト比較します。3つの公式Dockerベースイメージも、マルチアーキテクチャマニフェストダイジェストに固定されています。

4.16.7.2がチェーンをブロックする理由

GiveWP 4.16.7.2は、登録、シリアル化された入力処理、セッション復元、データ移行、ガジェットハードニングにわたって独立した防御を追加します。

ターミナルハードニングでは、解決されたオブジェクトが期待されるプロバイダーコントラクトを実装することが要求されます:

したがって、攻撃者制御の文字列 system は拒否されます。このリポジトリの直接制御はHTTPキャリアをバイパスし、このターミナル防御だけでもマーカーが存在しないことを検証します。

実際のデプロイメントの確認

PoCの陰性結果だけでは、サイトがパッチ適用済みであることを証明しません。WAF、異なるルーティング、無効化された登録、欠落したレガシーフォーム、セッション構成、または無効化されたPHPコマンド関数はすべて、依然として脆弱なコードベース上でマーカーを防ぐ可能性があります。

推奨される検証手順:

1. デプロイされたGiveWPバージョンとソースリビジョンを記録します。
2. WordPressサイトとデータベースをバックアップまたはスナップショットします。
3. そのスナップショットを隔離されたステージング環境に復元します。
4. 不要なアウトバウンドネットワークアクセスを無効にします。
5. クローンに対してこのマーカーのみの検証ツールを実行します。
6. GiveWPを最新のサポートリリースに更新します。4.16.7.2はテスト済み修正を含む最小リリースです。
7. 同一のテストを繰り返し、マーカーが存在しないことを要求します。
8. インストールされたプラグインバージョンとパッチ適用済みソースを独立して検証します。

バージョンチェック:

修復とインシデントレビュー

GiveWPを最新のサポートバージョンに更新してください。更新後:

• 該当する場合はPHPオペコードキャッシュをクリアします。
• 古いGiveWPコピーがアクティブまたはWebアクセス可能な状態で残っていないことを確認します。
• 予期しないWordPressまたはドナーアカウントを確認します。
• ユーザーメタデータとGiveWPセッションでシリアル化された TCPDF、Symfony Session、または loadedProviders グラフを検索します。
• 同じセッションからの登録、プロフィール変更、寄付リクエスト、およびその後のHTTP 500応答を関連付けます。
• 予期しないWebサーバーの子プロセスまたはファイルシステムの変更を調査します。

インターネットに公開された脆弱なインストールにオブジェクトインジェクションの痕跡が含まれている場合は、プラグインの更新だけでなく、潜在的な侵害として扱ってください。

リポジトリ構成

コミットされていないもの:

検証境界

証明基準は意図的に厳格です: 変更されていないストックチェーンを通じた観測可能なコマンドマーカーのみがRCEとラベル付けされます。HTTP受け入れ、シリアル化、例外、検出器ヒットは中間証拠です。