Kötü niyetli aktörler, Xecurify miniOrange SAML 2.0 Single Sign On eklentisindeki iki ciddi kimliği doğrulanmamış kimlik doğrulama atlama açığını istismar etmeye çalışıyor. Bu açıklar saldırganın WordPress'te herhangi bir kullanıcı, yöneticiler dahil, olarak oturum açmasını mümkün kılıyor.
Patchstack tarafından açıklanan açıklar şunlar:
CVE-2026-61979 (CVSS puanı: 8.1) - İmza algoritması karışıklığından kaynaklanan kimliği doğrulanmamış ayrıcalık yükseltme açığı. Standart sürüm için 17.0.5 sürümünde düzeltildi.
CVE-2026-15981 (CVSS puanı: 9.8) - Geçersiz imzaları geçerli kabul etmekten kaynaklanan kimlik doğrulama atlama açığı. Standart sürüm için 17.0.6 sürümünde düzeltildi.
CVE-2026-15981'in CVE.org'daki açıklamasına göre "Bu durum, mo_saml_validate_signature() fonksiyonunun PHP'nin openssl_verify() fonksiyonunun döndürdüğü ham üç durumlu tamsayı üzerinde gevşek bir boolean kontrolü yapmasından kaynaklanıyor; -1 hata dönüş değeri doğru olarak değerlendirildiği için başarılı bir imza doğrulaması olarak ele alınıyor."
"Bu, kimliği doğrulanmamış saldırganların, saldırgan tarafından kontrol edilen bir NameID içeren ve OpenSSL işleme hatası tetikleyen kasıtlı olarak bozuk bir imza değeri içeren hazırlanmış bir SAMLResponse göndererek mevcut herhangi bir WordPress kullanıcısı, yöneticiler dahil, olarak oturum açmasını mümkün kılıyor; doğrulama tamamen atlanıyor ve hedef hesap için wp_set_auth_cookie() çağrılıyor."
WordPress güvenlik şirketi, sorunları bildirdiği için DigitalOcean güvenlik ekibine teşekkür etti. Şirkete göre saldırgan, eklentiye bozuk imzalı bir SAML yanıtı oluşturup gönderebilir ve eklenti bunu geçerli olarak kabul eder.
Bulut altyapı sağlayıcısının, güvenilir ağlarının dışından gelen olağandışı bir WordPress yönetici oturum açma girişimi gözlemledikten sonra açıkları keşfettiği belirtiliyor. Patchstack'e göre "Saldırgan zaten atlama yoluyla bir WordPress yönetici oturum açma çerezi elde etmişti, ancak yönetici paneli işlemleri kendisi güvenilir ağın arkasında kısıtlı kaldığı için durdu."
Tarama faaliyeti aşağıdaki IP adreslerinden kaydedildi.
Patchstack ekledi: "Yayılım, hedefli bir kampanyadan ziyade fırsatçı taramayı gösteriyor. Bu işi yapan kişi, eklenti yüklü her siteye, arkasında hangi sürüm veya sürümün olduğunu kontrol etmeden istismarı fırlatıyor gibi görünüyor."
WordPress site sahiplerine, saldırganların ayrıcalık elde etmek ve savunmasız sitelerin kontrolünü ele geçirmek için açıkları zincirlemesine olanak tanıyan bir kanıt-of-concept kodunun bulunabilirliği göz önüne alındığında, korunmak için en son düzeltmeleri uygulamaları tavsiye ediliyor.
