Le vulnerabilità del plugin SAML miniOrange consentono la presa di controllo di WordPress

Gli aggressori stanno sfruttando attivamente due difetti di bypass dell'autenticazione nel plugin Xecurify miniOrange SAML 2.0 Single Sign On per WordPress. Questo plugin consente ai visitatori del sito di utilizzare un unico set di credenziali da un provider di identità esterno per accedere, una funzionalità nota come Single Sign On (SSO). Le vulnerabilità possono consentire a chi non è autenticato di accedere come qualsiasi utente WordPress esistente, inclusi gli amministratori. La società di sicurezza Patchstack ha divulgato i problemi e ha attribuito la segnalazione al team di sicurezza di DigitalOcean.

Il primo difetto, tracciato come CVE-2026-61979, ha un punteggio di gravità CVSS di 8.1. Si tratta di un problema di escalation dei privilegi non autenticato causato da una confusione nel modo in cui il plugin verifica le firme digitali. La correzione è stata rilasciata nella versione 17.0.5 per l'edizione Standard. Il secondo difetto, tracciato come CVE-2026-15981, è valutato 9.8 sulla scala CVSS, rendendolo critico. Deriva dal fatto che il plugin accetta firme malformate come valide. La correzione per questo secondo problema è apparsa nella versione 17.0.6 per l'edizione Standard.

Il difetto più grave, CVE-2026-15981, funziona perché una funzione all'interno del plugin chiamata mo_saml_validate_signature() esegue un controllo booleano lasco sul risultato grezzo della funzione openssl_verify() di PHP. Questa funzione sottostante normalmente restituisce 1 quando una firma è valida, 0 quando non lo è e -1 quando si verifica un errore durante l'elaborazione. Il controllo del plugin tratta il valore di errore -1 come se significasse vero, quindi una verifica fallita viene erroneamente accettata come successo. Di conseguenza, un attaccante può inviare una SAMLResponse appositamente predisposta contenente un NameID controllato e una firma deliberatamente malformata che innesca un errore OpenSSL. Il plugin chiama quindi wp_set_auth_cookie() per l'account preso di mira, che fa accedere l'attaccante come quell'utente senza bisogno di una password.

Patchstack ha spiegato che un attaccante può creare una risposta SAML con una firma malformata e inviarla al plugin, facendo sì che il plugin la tratti come valida. La società di sicurezza WordPress ha dichiarato che il team di DigitalOcean ha scoperto le vulnerabilità dopo aver notato un tentativo anomalo di sessione amministratore WordPress proveniente dall'esterno della rete fidata del provider cloud. L'attaccante aveva già utilizzato il bypass per ottenere un cookie di sessione amministratore, ma è stato bloccato perché le operazioni del pannello di amministrazione erano limitate a quella rete fidata.

È stata registrata attività di scansione da sei indirizzi IP: 207.211.214.41, 79.127.224.14, 102.91.71.83, 162.243.116.148, 84.201.6.54 e 64.225.25.188. Patchstack ha dichiarato che la diffusione suggerisce una scansione opportunistica piuttosto che una campagna mirata, e che chi la esegue sembra lanciare l'exploit contro ogni sito con il plugin installato senza verificare quale edizione o versione sia presente. È disponibile anche un proof of concept pubblico e gli attaccanti possono concatenare i due difetti per ottenere privilegi amministrativi e prendere il controllo dei siti vulnerabili.

I proprietari di siti WordPress che utilizzano questo plugin dovrebbero aggiornare all'ultima versione, idealmente 17.0.6 o successiva, il prima possibile. Poiché i difetti consentono l'accesso completo come amministratore, un exploit riuscito può portare all'installazione di malware, alla creazione di account amministratore nascosti o alla deturpazione del sito. Per i proprietari di siti web che preferiscono che questa manutenzione venga gestita per loro, i servizi di hosting WordPress gestito come AEU Hosting possono aiutare a mantenere WordPress e i suoi plugin aggiornati e monitorati, riducendo la finestra in cui un plugin vulnerabile rimane esposto.