黑客针对 WordPress 网站利用 miniOrange 认证绕过漏洞

黑客正试图利用WordPress插件miniOrange SAML 2.0 Single Sign On中的两个关键认证绕过漏洞，这些漏洞可用于伪造SAML响应并以管理员身份登录。

该miniOrange SAML SSO插件将WordPress站点转变为SAML服务提供商，允许用户通过企业身份平台（如Microsoft Entra ID、Okta、Google Workspace或OneLogin）登录，而无需单独WordPress凭据。

该插件由Xecurify创建，是包含七个插件的miniOrange家族之一，其中免费版有10,000次下载，其余六个版本有30,000客户。

被利用的两个漏洞编号为CVE-2026-61979和CVE-2026-15981，可串联使用以绕过认证。

由于该插件接受传入SAML响应中的签名算法而非强制执行已配置的算法，攻击者可利用CVE-2026-61979选择HMAC-SHA1，导致插件将身份提供商（IdP）的RSA公钥视为共享密钥。

由于公钥已知，攻击者可伪造一个插件视为真实的签名。

第二个安全问题CVE-2026-15981使插件将OpenSSL验证错误（-1）视为成功结果，从而允许格式错误的签名通过验证。

安全公司Patchstack称，这两个漏洞已于7月公开披露并修复。然而，厂商公告仅涵盖免费版，未对六个付费版发出警告，尽管这些版本也已提供修复。

修复版本如下：

• 免费单站点 – 5.4.5

• Premium单站点 – 13.0.4

• Standard单站点 – 17.06

• Premium/Enterprise/All-Inclusive多站点 – 20.2.8

• Enterprise/All-Inclusive单站点 – 26.0.3

• VIP单站点 – 32.0.8

• VIP多站点 – 35.0.7

未能跨所有插件版本披露风险，据报导致许多运行付费版的网站未采取行动，为威胁行为者利用这两个漏洞创造了机会。

Patchstack报告称，8月16日，DigitalOcean拦截了一个源自其可信网络外部的异常WordPress管理员会话。

调查显示，攻击者已串联这两个漏洞，通过Standard版插件（版本16.1.9）获取管理员会话cookie。

Patchstack的数据显示，利用尝试和机会性扫描正在进行，来自欧洲、非洲和美国的六个IP地址。

针对免费版的漏洞利用概念验证（PoC）也已公开，因此攻击速度可能随时加快。

Patchstack警告称，WordPress管理员仪表板不会显示付费版插件的更新警告，因此网站所有者必须手动升级至已修补版本。