masterwok/poc-cve-2026-1357CVE-2026-1357の概念実証エクスプロイト。WordPress用WPvivid Backup & Migrationプラグインにおける認証不要の任意ファイルアップロード脆弱性であり、リモートコード実行を可能にします。
WordPress用プラグイン「Migration, Backup, Staging – WPvivid Backup & Migration」は、バージョン0.9.123以前において、認証されていない任意のファイルアップロードに対して脆弱です。これは、RSA復号処理における不適切なエラーハンドリングと、アップロードされたファイルの書き込み時のパスサニタイズ不足が組み合わさったことが原因です。プラグインがopenssl_private_decrypt()を使用したセッションキーの復号に失敗した場合、実行を終了せず、代わりにboolean型のfalse値をphpseclibライブラリのAES暗号初期化に渡します。ライブラリはこのfalse値をnullバイトの文字列として扱うため、攻撃者は予測可能なnullバイトキーを使用して悪意のあるペイロードを暗号化できます。さらに、プラグインは復号されたペイロードからファイル名をサニタイズせずに受け入れるため、ディレクトリトラバーサルによって保護されたバックアップディレクトリから脱出できます。これにより、認証されていない攻撃者が公開アクセス可能なディレクトリに任意のPHPファイルをアップロードし、wpvivid_action=send_to_siteパラメータを介してリモートコード実行を達成することが可能になります。
https://nvd.nist.gov/vuln/detail/CVE-2026-1357
プロジェクトフォルダを次のように構成します:
.
├── docker-compose.yml
├── exploit.py
├── requirements.txt
├── vulnerable-plugin-folder/ # プラグインのステージング領域
└── wp-content/ # 永続的なWPデータ（Dockerが作成）
この脆弱性は後のバージョンで修正されているため、バージョン0.9.123を手動でダウンロードしてステージングする必要があります。プロジェクトルートから次のコマンドを実行します:
# 脆弱なバージョンをダウンロード
wget https://downloads.wordpress.org/plugin/wpvivid-backuprestore.0.9.123.zip
# ステージングディレクトリを作成
mkdir vulnerable-plugin-folder
# ファイルを展開して配置
unzip wpvivid-backuprestore.0.9.123.zip
mv wpvivid-backuprestore/* vulnerable-plugin-folder/
rm -rf wpvivid-backuprestore wpvivid-backuprestore.0.9.123.zip
docker-compose up -d
http://localhost:8080 にアクセスし、インストールを完了します。/wp-admin）にログインします。pip install -r requirements.txt
ラボのターゲットに対してスクリプトを実行します:
python3 exploit.py localhost:8080 --command "id"
成功した場合、スクリプトはコマンドの結果（例: uid=33(www-data) gid=33(www-data)）を出力します。ラボ内でシェルの存在を確認することもできます:
docker exec wpvivid-lab ls /var/www/html/wp-content/uploads/
このツールは教育目的および許可されたセキュリティ研究専用です。コンピュータシステムへの不正アクセスは違法です。