miniOrange SAML SSO 存在严重漏洞，攻击者可接管 WordPress 管理员帐户

原创

ZM
ZM

暗镜

2026年8月29日 08:00
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

miniOrange SAML 2.0单点登录 WordPress 插件中发现了两个严重漏洞，未经身份验证的攻击者可能利用这些漏洞伪造 SAML 断言，并以任何现有用户（包括网站管理员）的身份登录。

这些漏洞分别被追踪为 CVE-2026-61979 和 CVE-2026-15981，其 CVSS 评分为 9.8。

DigitalOcean 安全团队进行的研究（后来与 Patchstack 一起发布）表明，此次事件的影响范围不仅限于公开记录的免费插件版本，还波及到六个不同版本的商业版本。

第一个问题，CVE-2026-61979，与签名算法混淆漏洞有关。该插件允许 SAML 响应指定其自身的签名算法，包括 HMAC-SHA1。

这造成了一种危险的情况，即插件可能会错误地将身份提供商的公开 RSA 密钥视为 HMAC 密钥。

攻击者可以从身份提供程序元数据端点获取此公钥，创建恶意 SAML 断言，使用该公钥通过 HMAC-SHA1 对其进行签名，并使插件接受该断言为合法。

此漏洞影响了SAML签名验证逻辑，可能导致攻击者获得WordPress网站的完全管理员权限。

第二个漏洞 CVE-2026-15981 源于对 openssl\\_verify() 返回值处理不当。OpenSSL 对有效签名返回 1，对无效签名返回 0，对内部错误返回 -1。

该插件错误地将结果作为布尔值进行检查，在 PHP 中将 -1 解释为 true。因此，一些格式错误的签名（可能会触发 OpenSSL 错误）可能会被误判为有效。

DigitalOcean 已确认 miniOrange 标准版 16.1.9 版本存在这两个问题。该供应商已在标准版 17.0.5 中修复了 CVE-2026-61979，并在 17.0.6 版本中修复了 CVE-2026-15981。

由于 miniOrange 在同一个 WordPress.org 插件别名 (miniorange-saml-20-single-sign-on) 下分发了七个独立版本的版本，因此修复过程变得复杂。

最初的公开公告仅针对免费下载版本；此问题已在 5.4.5 版本中修复。然而，付费版本的版本划分完全不同。例如，标准版涵盖 15.x 至 17.x 版本，而 VIP 版则对应 32.x 和 35.x 版本。

这种结构导致漏洞扫描器和数据库将许多付费安装版本错误地判定为已打补丁。例如，扫描器将运行 16.1.9 版本的 Standard 安装与 5.4.5 版本中已修复的公开安全漏洞进行比较时，会错误地得出结论，认为版本号更高的版本是安全的，即使它仍然存在漏洞。

Patchstack 和 miniOrange 随后对所有版本中受影响的版本范围进行了映射。已修复的版本包括 Premium 13.0.4、Standard 17.0.6、多站点 Premium/Enterprise/All-Inclusive 20.2.8、Enterprise/All-Inclusive 26.0.3、VIP 单站点 32.0.8 和 VIP 多站点 35.0.7。

DigitalOcean 在其环境中检测并阻止了针对该插件的可疑活动。研究人员指出，攻击者似乎通过绕过身份验证获取了WordPress 管理员会话 cookie，但由于管理面板的访问限制（仅限于受信任的网络），因此无法执行管理操作。

观察到的扫描活动源自比利时、尼日利亚、德国和美国的基础设施，这表明这些攻击是机会主义的利用行为，而非有针对性的行动。此外，据报道，针对免费版本的公开概念验证程序已经发布