POC-AIOWPM-CVE-2026-19949 — 可复现的基于 Docker 的概念验证，针对 CVE-2026-19949，即 All-in-One WP Migration <= 7.109 中的二阶 SQL 注入，该漏洞通过匿名 REST 泄露 ai1wm_secret_key，并可升级为远程代码执行。 | Kitploit

问题出在 *negative lookbehind* `(?<!\\)` 上：**它只检查每个候选闭合引号前的一个字节**，而不是统计完整的反斜杠 *run*。在 MySQL 转储中，以 `\` 结尾的数据会被写成 `...\\'` —— 即闭合引号前有**偶数**个反斜杠（实际字符串以反斜杠结尾）—— 但该正则却认为它已被转义，从而**过度捕获下一个字面量**。随后回调会对过度捕获的值执行 `unescape_mysql → replace_serialized_values → escape_mysql`，而这个循环会重新输出一组不平衡的引号/反斜杠序列，**翻转结果语句中 MySQL 字符串的边界**，将攻击者数据提升为可执行的 SQL。

## 2. 根本原因：翻转字符串的正则

在埋好 trackback 之后（见 §4），`database.sql` 中的那一行是：```sql
INSERT INTO `…_comments` VALUES (2,4,'Jack Blogs\\\\','','/*payload*/…','172.18.0.1',…);

从这里开始，语句中后续的所有内容都会以改变后的奇偶性重新进行词法分析（原本是字符串的数据变成代码，反之亦然）。打了补丁的 7.110 正则表达式处理同一行并返回**完全相同**的结果。

你可以通过 `make demo-flip`（`exploit/04_demo_flip.php`）逐字节查看，无需利用任何漏洞，它会针对同一行转储内容执行 7.109 和 7.110 插件的真实代码。

## 3. 补丁（7.109 → 7.110）```diff
- $input = preg_replace_callback( "/'(.*?)(?<!\\\\)'/S", array( $this, 'replace_table_values_callback' ), $input );
+ $input = preg_replace_callback( "/'((?:[^'\\\\]++|\\\\.)*+)'/sS", array( $this, 'replace_table_values_callback' ), $input );

攻击链步骤	状态	位置
可复现的易受攻击安装（WP 7.1 + 插件 7.109）	✅	`make lab`
通过trackback无需认证植入（字节精确，自动批准）	✅	`make plant`
管理员导出；dump包含植入的行	✅	`make export`
根本原因：正则表达式7.109翻转字符串边界（对比7.110完好）	✅	`make demo-flip`
管理员恢复：翻转重写SQL并在7.109中损坏/丢失行	✅	`make restore`
密钥泄露（自主推导的payload）→ 通过无需认证的REST真实泄露	✅	`make leak`
RCE：利用密钥进行无需认证的导入 → 执行mu-plugin	✅	`make rce-auto`
阴性对照：在7.110中行完好存活，无泄露	✅	`make control-7110`
WP 7.1 / 7.0.4 / 6.9.4 / 6.8.3矩阵：所有版本完整攻击链 ✓	✅	`research/test-wp-versions.sh`
完整远程攻击链（仅HTTP，适用于真实域名）	✅	`python3 cli/poc.py explotar …`

docker-compose.yml WordPress (php8.2-apache) + MySQL 8; PLUGIN_VERSION y WP_VERSION configurables (7.109 por defecto, 7.110 control) docker/wordpress/Dockerfile imagen del sitio víctima: wp-cli + plugin de WordPress.org setup/init.sh core install, activa el plugin, crea la entrada con pings abiertos, comentarios sin moderación exploit/ ← fases numeradas de la PoC 01_plant_trackback.sh Fase 1 — trackback malicioso (no autenticado) 02_export.sh Fase 2a — export del admin (vía aiowpm_client) 03_restore.sh Fase 2b — restauración del admin + ANTES/DESPUÉS de la fila 04_demo_flip.php Causa raíz byte a byte: regex 7.109 vs 7.110 05_build_wpress.py Construye el .wpress malicioso (package.json + mu-plugin) 06_rce_unauth.py Fase 3 — import no autenticada con la clave → RCE 07_leak_key.sh Fase 3a — lee la clave filtrada de la REST anónima aiowpm_client.py Cliente del protocolo AJAX del plugin (export/import por prioridades, como su JavaScript) wpress.py Lector/escritor del formato .wpress (bloques de 4377 B) mu_plugin.php Mu-plugin BENIGNO (marcadores de evidencia, sin shell) investigacion/ Arneses y fuzzers con los que se DERIVÓ el payload: harness.php (pipeline real del plugin + MySQL de prueba), afinar/test/fuzzers, NOTAS.md del análisis cli/poc.py CLI de demostración: lab / scan / verificar / explotar web/index.html Landing bilingüe del CVE (estilo base de datos de vulnerabilidades; sin dependencias externas) research/ test-wp-versions.sh Matriz de compatibilidad por versión de WordPress poc-publica/ANALISIS.md Refutación forense de las «PoC públicas» falsas Makefile Objetivos: lab, plant, export, restore, demo-flip, leak, rce-auto, full-demo, control-7110, demo-cli… README.md / README.en.md Esta documentación (ES/EN) .gitignore Fuera: informes con claves, .wpress generados, zips y fuentes del plugin (terceros), PoC falsas descargadas

执行时生成且**不共享**的工件（参见 `.gitignore`）：
`informes/`（包含过滤出的密钥）、`exploit/malicious.wpress`、
`plugin-src/`（为 diff 提取的 7.109/7.110 源码）、`research/*.zip`
（WordPress.org 的原始 zip 文件）、`research/database.sql`、
`research/backup-legit.wpress` 以及所分析虚假 PoC 的文件。

## 9. 要求与快速启动

要求：Docker（带 compose 插件）、make、带 `requests` 的 python3、curl。```bash
make full-demo      # laboratorio completo de cero: lab → plant → export →
                    # restore → flip → leak → rce (todo lo anterior de una vez)

访问受害者站点：<http://localhost:8080> — admin / `admin-password-123`
（公开条目 ID 4，包含 ping 和开放的评论）。

## 10. 分步阶段（make 目标）```bash
make lab             # levantar/inicializar el laboratorio (plugin 7.109)
make plant           # Fase 1 — plantar el trackback (anónimo)
make export          # Fase 2a — exportar como admin
make restore         # Fase 2b — restaurar como admin (muestra ANTES/DESPUÉS)
make demo-flip       # causa raíz: 7.109 vs 7.110 sobre la misma línea
make leak            # Fase 3a — leer la clave filtrada de la REST (anónimo)
make rce KEY=XXXX    # Fase 3 — RCE pasando la clave a mano
make rce-auto        # Fase 3 — RCE encadenado con la clave filtrada
make control-7110    # control negativo con el plugin parcheado
make lab-7109        # volver al laboratorio vulnerable tras el control
make demo-cli        # demo completa vía CLI (+ informe y control negativo)
make scan-cli URL=https://www.ejemplo.com   # detección no invasiva
make landing         # servir la landing del CVE en http://localhost:8090
make status | logs   # estado de contenedores / log de WordPress
make down | clean    # parar / parar y borrar volúmenes y artefactos

- `lab` 启动实验室，执行完整链和阴性对照（7.110），并生成报告（`--sin-control` 可跳过）。
- `scan` 完全被动：读取插件的公开 `readme.txt`，检查 `wp-trackback.php` 和评论 REST 接口，返回判定结果。
- `verificar` 重新检查密钥是否已出现在匿名 REST 中（例如在植入数小时后，管理员完成备份+恢复时）。
- `explotar` 具有侵入性，要求 `--acepto-responsabilidad` 并交互式确认域名：植入 trackback，模拟管理员（导出 → 下载备份 → 重新上传并恢复；**仅 HTTP**，使用你为你的站点提供的凭据），读取泄露的密钥，并通过 `--rce` 留下良性标记（通过匿名导入）。若无管理员凭据：仅植入并等待（`--esperar` 用于等待泄露；`--post-id` 用于选择条目；`--no-interactivo` 用于脚本）。

## 12. CVE 落地页

静态双语页面（ES/EN，页头切换器，记住偏好），以漏洞数据库风格解释 CVE 和 payload：摘要、链、**payload 逐段交互式拆解**、验证与缓解矩阵。```bash
make landing          # sirve http://localhost:8090

CVE	CVE-2026-19949
插件	All-in-One WP Migration and Backup (ServMask)，≤ 7.109
补丁	7.110（2026 年 8 月 20 日）
CVSS	8.8（高危）— AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
前提条件	管理员导出并恢复站点（该插件的常规操作）
研究人员	Jack Taylor（Wordfence 漏洞奖励计划）

POC-AIOWPM-CVE-2026-19949

最受欢迎

目录

1. 漏洞概述

4. 完整攻击链

5. 推导出的payload（自主设计）

6. 本仓库复现和验证的内容

7. 版本兼容性（已验证）

8. 仓库结构```

11. CLI de demostración

13. 检测与缓解

14. 研究笔记

15. 参考

16. 法律声明

WordPress	plant	export	restore	leak	RCE
7.1.0	✓	✓	✓	✓	✓
7.0.4	✓	✓	✓	✓	✓
6.9.4	✓	✓	✓	✓	✓
6.8.3	✓	✓	✓	✓	✓