CVE-2026-76547 — Profile Builder < 4.0.1 における PHP オブジェクトインジェクション

研究者: Vivien Lebas 影響を受けるプラグイン: Profile Builder (WordPress) 影響を受けるバージョン: < 4.0.1 修正バージョン: 4.0.1 種類: PHP オブジェクトインジェクション (安全でないデシリアライゼーション) CWE: CWE-502 OWASP: A8 – 安全でないデシリアライゼーション CVSS 3.1: 6.6 (Medium) — AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H WPScan: 検証済みアドバイザリ

概要

Profile Builder の Import/Export アドオンは、設定ファイルをインポートする際に、デシリアライズされるデータの型を検証していません。そのため、高い権限を持つユーザー (管理者) は、細工された JSON ファイルをインポートすることで PHP オブジェクトインジェクションを引き起こすことができます。

このアドオンは無料の拡張機能であり、デフォルトでは無効になっています。また、 Profile Builder 自体には利用可能な POP (Property-Oriented Programming) チェーンは同梱されていません。そのため、具体的な影響に到達するには、インストール済みの別のプラグインやテーマが提供する適切なガジェットが必要です。

影響を受けるコンポーネント

脆弱性はインポート機能に存在します:

/wp-admin/admin.php?page=pbie-import-export&tab=import

インポートされたファイル内の値が、型チェックなしで WordPress の maybe_unserialize() に渡されます。その値がシリアライズされたオブジェクト文字列である場合、PHP は指定されたクラスをインスタンス化し、インポートリクエスト中にそのマジックメソッド (__wakeup、__destruct) を実行します。

前提条件

Profile Builder がインストールされ、有効化されていること。
無料の Import and Export アドオンが Profile Builder > Add-ons で有効化されていること (標準のインストールでは無効であり、管理者が有効化する必要があります)。
管理者アカウント (manage_options) であること。マルチサイトでは、インポートは manage_network を条件とするため、ネットワーク管理者/スーパー管理者が必要です。サブサイトの管理者は拒否されます。
注入されたオブジェクトが観測可能な効果を持つためには、利用可能なマジックメソッドを持つクラスがターゲット上にロードされている必要があります。Profile Builder にはそのようなクラスは同梱されていないため、以下のペイロードでは、インストール済みのプラグインやテーマが提供するそのようなクラスの代用として Evil を使用しています。

実証

管理者としてログインし、以下を開きます:

   https://victim.example/wp-admin/admin.php?page=pbie-import-export&tab=import

以下を payload.json として保存します:

   {
     "options": {},
     "posts": {
       "wppb-rf-cpt": [
         {
           "post_title": "POC",
           "post_name": "poc",
           "post_type": "post",
           "post_status": "publish",
           "postmeta": {
             "poc": ["O:4:\"Evil\":0:{}"]
           }
         }
       ]
     }
   }

JSON File フィールドで payload.json を選択し、Import を押します。

結果

postmeta の値内の文字列が maybe_unserialize() に渡されるため、指定されたクラスがインスタンス化され、インポートリクエスト中にそのマジックメソッドが実行されます。

注記

外側のキーは wppb-ul-cpt、wppb-rf-cpt、wppb-epf-cpt のいずれかである必要がありますが、実際に作成される投稿タイプは各投稿の post_type フィールドから取得されるため、この経路は Pro ライセンスなしで 到達可能です。
デシリアライズされたオブジェクトは保存されません。結果として生成されるメタ行は空になります。影響は、そのリクエスト中に実行される内容に限定されます。

影響

PHP オブジェクトインジェクション。インストール済みの別のプラグインやテーマからの適切なガジェットチェーンと組み合わせることで、ファイル操作などの動作や、利用可能なガジェットによってはリモートコード実行につながる可能性があります。

修正

Profile Builder を 4.0.1 以降に更新してください。

開示

この脆弱性はベンダーに責任ある形で開示され、修正が利用可能になった後に、教育および防御目的で公開されています。

CVE-2026-76547

人気

CVE-2026-76547 — Profile Builder < 4.0.1 における PHP オブジェクトインジェクション

概要

影響を受けるコンポーネント

前提条件

実証

結果

注記

影響

修正

開示