CVE-2026-8732 — WP Maps Pro إنشاء حساب مدير بدون مصادقة

English | Türkçe

العربية

نظرة عامة

CVE-2026-8732 هي ثغرة أمنية حرجة (CVSS 9.8) في إضافة ووردبريس WP Maps Pro (wp-google-map-gold) (الإصدار <= 6.1.0). يمكن للمهاجمين غير المصادق عليهم إنشاء حسابات مدير في ووردبريس من خلال إساءة استخدام إجراء AJAX الخاص بـ wpgmp_temp_access_ajax. قيمة nonce التي تحمي نقطة النهاية مضمّنة بشكل علني في صفحات الواجهة الأمامية، مما يجعلها غير فعّالة كآلية للتحكم في الوصول.

المؤلفون: fientix & quake

الميزات

• فحص عنوان URL واحد أو فحص جماعي لأهداف متعددة عبر قائمة (-l).
• تنفيذ متعدد الخيوط (-t).
• حفظ تلقائي لبيانات اعتماد المدير الضعيفة (-o).
• مهلة زمنية مخصصة للطلبات (--timeout).
• تسجيل مفصّل في وحدة التحكم (-v).

الاستخدام

# فحص هدف واحد
python CVE-2026-8732.py -u https://example.com -v

# فحص جماعي لأهداف متعددة وحفظ النتائج
python CVE-2026-8732.py -l targets.txt -t 20 -o success.txt

# مهلة زمنية مخصصة (بالثواني)
python CVE-2026-8732.py -l targets.txt --timeout 15

Türkçe

Genel Bakış

CVE-2026-8732, WP Maps Pro (wp-google-map-gold) WordPress eklentisinin <= 6.1.0 sürümlerinde bulunan kritik düzeyde (CVSS 9.8) bir zafiyettir. Yetkisiz saldırganlar, wpgmp_temp_access_ajax AJAX eylemini kötüye kullanarak yetkisiz şekilde yönetici (admin) hesabı oluşturabilirler. İsteği koruması gereken nonce değeri ön yüzde herkese açık olarak yayınlandığından erişim kontrolü işlevini yitirmektedir.

Yazarlar: fientix & quake

Özellikler

• Tek hedef URL taraması veya liste üzerinden toplu tarama (-l).
• Çoklu iş parçacığı (multi-threading) desteği (-t).
• Başarılı yönetici hesaplarını dosyaya kaydetme (-o).
• İsteğe bağlı zaman aşımı süresi ayarlama (--timeout).
• Detaylı konsol çıktısı (-v).

Kullanım

# Tek Hedef Taraması
python CVE-2026-8732.py -u https://example.com -v

# Çoklu Hedef Taraması ve Sonuçları Kaydetme
python CVE-2026-8732.py -l targets.txt -t 20 -o success.txt

# Özel Zaman Aşımı Süresi (Saniye)
python CVE-2026-8732.py -l targets.txt --timeout 15

"شكرًا جزيلاً على دعمكم لهذا المشروع، @Quake-py"