abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  CVE-2026-84753

CVE-2026-84753

Mail Mint 1.31.0 — WPFunnels

Mail Mint <= 1.31.0 版本中的未认证 PHP 对象注入漏洞。

公告（来自源码映射）

PHP 对象注入发生在 contact meta 上的 maybe_unserialize，而非 ajax action=。HTTP 为 REST mint-form-submit。PHP 方法名不是 action=。

入口

• 方法： POST
• 路径： /?rest_route=/mint-mail/v1/mint-form-submit
• 路由： REST mint-mail/v1/mint-form-submit（FormSubmissionController::mrm_submit_form）。permission_callback 始终为 true。wp_nonce 为 wp_rest（uid 0）。post_data 为查询字符串表单字段。
• 说明： CVE-2026-84753 CWE-502：未认证的表单字段被存储为 contact meta，随后 ContactModel::safe_unserialize_meta() 对其执行 maybe_unserialize()（对象在 is_array 丢弃之前实例化）。1.31.1 拒绝 is_serialized() 输入并使用 allowed_classes=>false。实验环境种子插入 mint_forms id=1 以及页面 slug mm-lab-nonce，MM_NONCE=。使用相同邮箱提交两次，使第二次请求命中 ContactModel::get。见证标志为 500/JSON 错误或 debug.log 中的唯一类名 POCWitness84753——而非反弹 shell。第一次 POST 存储载荷；第二次 POST 对其反序列化。

调用链

• GET /?rest_route=/wp/v2/pages&slug=mm-lab-nonce → MM_NONCE
• POST mint-mail/v1/mint-form-submit post_data email+form_id+serialized extra field
• FormAction::handle_form_submission stores meta verbatim (FormAction.php:58-64, 265)
• second POST existing contact → ContactModel::get → safe_unserialize_meta maybe_unserialize (ContactModel.php:1552-1557)
• object __wakeup/__destruct / unknown class error

实验环境前置条件

• 启用 mail-mint 1.31.0 的 WordPress
• mint_forms 行 id=1 状态为 published
• 公开的 MM_NONCE= wp_rest nonce（uid 0）
• 禁用双重确认，使 WPMailMailer is_plugin_active() 不会在 meta 存储前致命错误
• 实验环境 mu-plugin 金丝雀类 POCWitness84753（wakeup/destruct 记录类名；非 gadget chain）

见证标志

响应或 debug.log 包含 POCWitness84753（反序列化期间的未知类）。主题 HTML、nonce 机器人消息，或无类错误的成功 JSON 均不是对象注入的见证标志。

非成功

• 通用 200 hello world HTML
• Seems like you are a bot
• Form is not valid / Email Field Not found
• 状态成功但无反序列化错误（载荷从未实例化）
• 反弹 shell 或出站连接

补丁 / 修复

首先执行： 将 Mail Mint 更新至 1.31.1 或更高版本。

升级后验证

• 针对已修补版本重新运行 CVE-2026-84753-Abraxas-Labs.py：映射的见证标志必须不出现。
• 确认部署树中的厂商公告 / 变更集（见参考资料）。
• WAF 签名是延迟，而非补丁。

若无法立即更新

• 禁用或隔离受影响组件。
• 在生产环境中搜寻见证标志条件（新的特权用户、意外文件、注入的行——即此 CVE 映射所指的任何内容）。

复现（授权实验环境）

仅针对 http://127.0.0.1:8088（或你绑定的回环地址）。请勿将此脚本指向互联网。

python3 CVE-2026-84753-Abraxas-Labs.py

成功标志是响应体中的上述见证标志。通用 200 HTML 不是。

实验环境镜像

用于复现的回环栈。除非此文件夹中的 Dockerfile 从源码构建，否则使用官方镜像。

• lab/docker-compose.yml
• lab/docker-compose.override.yml
• lab/Dockerfile

cd lab
docker compose up --force-recreate

如果 YAML 挂载本地目录（来自版本表的插件 zip / 源码标签），请将存在漏洞的产品树绑定到 Compose 旁边。除 127.0.0.1 外不发布任何内容。

参考资料

• CVE-2026-84753 · NVD

• CVE-2026-84753 · CVE.org

• patchstack.com/database/wordpress/plugin/mail-mint/vulnerability/wordpress-mail-mint-plugin-1-31-0-php-object-injection-vulnerability?_s_id=cve

• github.com/advisories/GHSA-28vg-wv39-3g8h

• nvd.nist.gov/vuln/detail/CVE-2026-84753

• 插件目录：mail-mint

• Trac 浏览器：plugins.trac.wordpress.org/mail-mint

• SVN 标签：plugins.svn.wordpress.org/mail-mint

• Abraxas Labs：abraxaslabs.tech · github.com/abraxas · @abraxas_null

记录（结构化）

# CVE-2026-84753  (structured records)

- input: `https://nvd.nist.gov/vuln/detail/CVE-2026-84753`
- CWE: CWE-502
- published: 2026-09-03T17:17:25.673

## NVD description

Unauthenticated PHP Object Injection in Mail Mint <= 1.31.0 versions.

## MITRE description

error: <urlopen error [Errno 8] nodename nor servname provided, or not known>

## Affected


## References (JSON sources only)

- https://patchstack.com/database/wordpress/plugin/mail-mint/vulnerability/wordpress-mail-mint-plugin-1-31-0-php-object-injection-vulnerability?_s_id=cve
- https://github.com/advisories/GHSA-28vg-wv39-3g8h
- https://nvd.nist.gov/vuln/detail/CVE-2026-84753

## GitHub advisory

Unauthenticated PHP Object Injection in Mail Mint <= 1.31.0 versions.

Unauthenticated PHP Object Injection in Mail Mint <= 1.31.0 versions.

免责声明

此包面向厂商、站点所有者及授权实验室。脚本仅与 127.0.0.1 通信。将其用于你并不拥有的系统未获 Abraxas Labs 授权。不提供任何担保。

abraxaslabs.tech · github.com/abraxas · @abraxas_null