CVE-2026-1492 - WordPressユーザー登録プラグイン権限昇格エクスプロイト

説明

このリポジトリには、WordPressのUser Registration & Membershipプラグインに影響する重大な脆弱性であるCVE-2026-1492の概念実証エクスプロイトが含まれています。

この脆弱性により、認証されていない攻撃者がメンバーシップ登録プロセスを悪用して管理者アカウントを作成できます。

👉 この脆弱性の完全な技術分析はこちらで入手できます:
技術分析
バックエンドが攻撃者制御のデータをどのように処理するか、そしてなぜ権限昇格が可能になるのかを段階的に説明しています。

脆弱性の詳細

• CVE ID: CVE-2026-1492
• コンポーネント: User Registration & Membership プラグイン (WPEverest)
• 影響を受けるバージョン: <= 5.1.2
• 脆弱性の種類: 不適切な権限管理 (CWE-269)
• 必要な認証: なし
• CVSSスコア: 9.8 (重大)

根本原因

このプラグインは、メンバーシップ登録プロセス中にユーザー制御の入力を不適切に信頼しています。

具体的には:

• バックエンドはユーザーが指定したroleを受け入れます
• サーバー側の許可リストは強制されません
• そのロールが作成されたユーザーに直接適用されます

これにより、攻撃者は以下を設定できます:

"role": "administrator"

そして完全な管理アクセスを取得できます。

影響

悪用に成功すると、以下が可能になります:

• WordPressの完全な管理者アクセス
• 悪意のあるプラグイン/テーマのインストール
• 任意のPHPコード実行 (管理パネル経由)
• データベースの外部流出
• サイトの完全乗っ取り

エクスプロイトの流れ

この脆弱性は、複数ステップのAJAXプロセスを通じてトリガーされます:

1. CSRFトークンとフォーム識別子を取得
2. user_registration_user_form_submitを介してユーザーを登録
3. user_registration_membership_register_memberを介してメンバーシップ登録をトリガー
4. 悪意のあるロールパラメータ (administrator) を注入

エクスプロイトの機能

• 自動トークン抽出 (nonce、form_id、security)
• 自動メンバーシップID抽出
• セッション処理 (クッキー)
• クリーンなCLI出力
• リクエスト検査用のデバッグモード

使用方法

python3 exploit.py -t http://target -ru 'http://target/?page_id=6'

例

python3 exploit.py -t http://localhost:5000 -ru 'http://localhost:5000/?page_id=6'

出力

[*] Extracting tokens...
[+] form_id: 5
[+] frontend_nonce: XXXXX
[+] security: XXXXX
[+] wpnonce: XXXXX
[+] membership_id: 12

[*] Sending registration request...
[+] User created

[*] Sending membership request...
[+] Privilege escalation successful

エクスプロイト後

生成された認証情報を使用してログインします:

http://target/wp-login.php

次に管理パネルにアクセスします:

http://target/wp-admin/

注: 管理パスはカスタマイズされている場合があります。

緩和策

• プラグインをバージョン >= 5.1.3 に更新
• パッチ適用が不可能な場合はプラグインを無効化
• 不正な管理者アカウント作成を監視

免責事項

このエクスプロイトは、教育目的および許可されたセキュリティテストのみを目的として提供されています。

許可なくシステムに対して使用しないでください。

参考情報

• CVE-2026-1492 (NVD)
• Wordfence Advisory
• 公開された悪用レポート