CVE-2026-15981

SAML Single Sign On <= 5.4.4 - Bypass de Autenticação Não Autenticado via Parâmetro SAMLResponse

CVE-2026-15981

SAML Single Sign On ≤ 5.4.4 — Bypass de Autenticação Não Autenticado

Exploit de Prova de Conceito
_{Assinatura Malformada → `openssl_verify()` retorna `-1` → conversão frouxa do PHP para `true` → `wp_set_auth_cookie()` como Administrador}

---

Visão Geral da Vulnerabilidade

Campo	Detalhe
ID CVE	CVE-2026-15981
Plugin Afetado	miniOrange SAML 2.0 Single Sign On – SSO Login (WordPress)
Versões Afetadas	Todas as versões até 5.4.4, inclusive
Tipo	Bypass de Autenticação Não Autenticado
CWE	CWE-287: Autenticação Incorreta / CWE-305: Bypass de Autenticação por Fraqueza Primária
CVSS 3.1	9.8 CRÍTICO — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Autenticação	Nenhuma necessária

Descrição

O plugin SAML Single Sign On – SSO Login para WordPress é vulnerável a Bypass de Autenticação em todas as versões até, e incluindo, 5.4.4. Isso se deve ao fato de a função mo_saml_validate_signature() realizar uma verificação booleana frouxa no inteiro bruto de três estados retornado por openssl_verify() do PHP, fazendo com que um valor de retorno de erro de -1 seja avaliado como verdadeiro e, portanto, tratado como uma verificação de assinatura bem-sucedida.

Isso torna possível que atacantes não autenticados façam login como qualquer usuário existente do WordPress, incluindo administradores, ao enviar um SAMLResponse especialmente criado contendo um NameID controlado pelo atacante e um valor de assinatura deliberadamente malformado que dispara um erro de processamento do OpenSSL — ignorando a verificação por completo e resultando na chamada de wp_set_auth_cookie() para a conta visada.

Causa Raiz

Attacker sends crafted SAMLResponse
         │
         ▼
mo_saml_validate_signature()
         │
         ▼
openssl_verify($data, $malformed_sig, $key)
         │
         ├─ Returns  1  → valid signature      ✓
         ├─ Returns  0  → invalid signature     ✗
         └─ Returns -1  → OpenSSL internal error
                │
                ▼
     PHP loose comparison:  if ($result)
                │
                ├─ (int) 1   → true   ✓
                ├─ (int) 0   → false  ✓
                └─ (int) -1  → true   ← BUG: error treated as success
                       │
                       ▼
             wp_set_auth_cookie() called
                       │
                       ▼
             Attacker is now Administrator

A correção é trivial — if ($result === 1) em vez de if ($result) — mas o impacto da falha é o bypass total de autenticação.

---

Recursos

• Varredura em massa de múltiplos alvos — processamento concorrente de listas de alvos
• Fingerprinting completo do WordPress — confirma o WordPress antes de prosseguir
• Detecção do plugin e verificação de versão — identifica o miniOrange SAML SSO e valida a versão ≤ 5.4.4
• Descoberta de metadados do SP — extrai o Entity ID e a URL ACS de ?option=mosaml_metadata
• Enumeração abrangente de usuários:
  • WP REST API (/wp-json/wp/v2/users)
  • Consultas REST por ID (IDs 1–10)
  • Redirecionamentos de arquivo de autor (/?author=N)
  • Correspondência de padrões no corpo do HTML
  • Fallback baseado em domínio + nomes comuns de administrador
• Descoberta de emissor IdP — segue redirecionamentos de ?option=saml_user_login e extrai URLs base do IdP
• Mecanismo de falsificação de SAMLResponse:
  • Canonicalização Exclusive C14N adequada via lxml
  • Cálculo correto do Digest (SHA-1/SHA-256/SHA-384/SHA-512)
  • Injeção do elemento de assinatura após </Issuer> conforme a especificação SAML
  • 12+ payloads de assinatura malformados projetados para acionar openssl_verify() = -1
  • Itera usuários × emissores × algoritmos × assinaturas × flags de audiência × Entity IDs do SP
• Verificação de sessão — verifica o cookie wordpress_logged_in_* após cada tentativa
• Confirmação do papel de administrador — verifica o acesso a /wp-admin/, /wp-admin/users.php, /wp-admin/plugins.php
• Extração de perfil — lê nome de usuário e e-mail de /wp-admin/profile.php
• 4 métodos de upload de shell após sessão de administrador:
  • M1 — Upload de ZIP de plugin via plugin-install.php
  • M2 — Upload de plugin via REST API por /wp-json/wp/v2/plugins
  • M3 — Gravação de arquivo no editor de Tema/Plugin
  • M4 — Upload assíncrono de mídia
• Verificação de execução do shell — confirma a assinatura Nx-zD no corpo da resposta
• Mecanismo de diagnóstico — classifica os motivos de falha (DIGEST_FAIL, ISSUER, AUDIENCE, TIME, etc.)
• Saída JSON de depuração — log de diagnóstico completo por alvo para análise

---

Requisitos

Python >= 3.8

pip install requests lxml

lxml é necessário para a canonicalização Exclusive C14N adequada da Assertion SAML.

---

Uso

python CVE-2026-15981.py

Você será solicitado a informar:

Prompt	Descrição	Padrão
Arquivo de alvos	Caminho para um arquivo de texto com um alvo por linha	list.txt
Threads	Número de workers concorrentes (1–100)	5

Formato do Arquivo de Alvos

https://example.com
http://target.org
subdomain.example.net
192.168.1.100
https://example.com/wordpress

Uma URL por linha. HTTP é usado por padrão se nenhum esquema for especificado.

---

Saída

Terminal

  ███████╗███╗   ███╗███████╗
  ██╔════╝████╗ ████║██╔════╝
  ███████╗██╔████╔██║███████╗
  ╚════██║██║╚██╔╝██║╚════██║
  ███████║██║ ╚═╝ ██║███████║
  ╚══════╝╚═╝     ╚═╝╚══════╝
   ╔══════════════════════════════════════════════════════════╗
   ║  miniOrange SAML SSO <= 5.4.4                           ║
   ║  openssl_verify() -1 Bypass -> Admin Session            ║
   ╚══════════════════════════════════════════════════════════╝
  By: Nxploited ( Khaled Alenazi ) - Nxploited ZeroDay Hub
  T.m @Kxploit

Cada alvo progride por 7 estágios rotulados:

  ============================================================
    target.com
  ============================================================
  [1] WordPress
      confirmed
  [2] SAML plugin
      version: 5.4.4
      miniOrange SAML detected
  [3] SP metadata
      metadata entityID: https://target.com/...
      metadata ACS: https://target.com/
  [4] Users
      REST: admin (id=1)
      REST: editor (id=2)
      author/3: johndoe
      4 found: ['admin', 'editor', 'johndoe', 'target']
  [5] Issuers
      SSO redirect found
      3 candidates
  [6] Exploit
      COOKIE! #14 user=admin 0xFF*256/rsa-sha256
        wordpress_logged_in_abc123=admin%7C1753...
        wp-admin accessible
          user=admin  [email protected]
          users.php -> Admin
  [7] Shell upload
      M1: plugin uploaded
      SHELL (M1-plugin): https://target.com/wp-content/plugins/nxproof/Nx.php
        -> Nx-zD Linux target 6.1.0 x86_64 uid=33(www-data) ...