CVE-2026-3844

root@kitploit:~

╔════════════════════════════════════════════════════════════╗
║ CVE-2026-3844                                             ║
║ Breeze Cache <= 2.4.4 Arbitrary File Upload               ║
║ Unauthenticated RCE | Authorized Lab Use Only              ║
╚════════════════════════════════════════════════════════════╝

Übersicht

Bei CVE-2026-3844 handelt es sich um eine Schwachstelle zum Hochladen beliebiger Dateien, die verwundbare Versionen des WordPress-Plugins Breeze Cache betrifft. Wenn lokales Gravatar-Hosting aktiviert ist, kann Breeze Avatar-URLs abrufen und die heruntergeladene Datei in einem öffentlich zugänglichen Cache-Verzeichnis speichern, ohne den Dateityp ausreichend zu validieren.

Funktionsweise

Attacker-controlled avatar URL
        |
        v
WordPress renders an avatar
        |
        v
Breeze Gravatar local-cache handler
        |
        v
download_url() fetches the remote file
        |
        v
File is saved under wp-content/cache/breeze-extra/gravatars/
        |
        v
Web-accessible uploaded file

Das verwundbare Verhalten liegt im Gravatar-Caching-Ablauf von Breeze:

• Die Avatar-src-URL wird vom Breeze-Gravatar-Handler akzeptiert.
• Die entfernte Datei wird über die WordPress-Funktion download_url() heruntergeladen.
• Der gespeicherte Dateiname wird aus dem Pfad der entfernten URL abgeleitet.
• Verwundbare Versionen blockieren gefährliche Dateierweiterungen nicht ausreichend und validieren den MIME-Typ nicht.
• Die resultierende Datei kann in einem öffentlichen Cache-Pfad landen.

Relevanter verwundbarer Bereich:

inc/class-breeze-cache-cronjobs.php
fetch_gravatar_from_remote()

Voraussetzungen

Anforderungen an das Ziel:

• WordPress-Website mit Breeze Cache <= 2.4.4.
• Das Breeze-Plugin ist aktiv.
• Host Files Locally - Gravatars ist aktiviert.
• Die Website rendert Avatare auf mindestens einer erreichbaren Seite oder einem erreichbaren Endpunkt.

Lokale Laborhinweise:

• Auf localhost kann dieses Proof of Concept einen direkten lokalen Cache-Schreibpfad verwenden, wenn das WordPress-Verzeichnis erkannt wird.
• Für autorisierte Remote-Tests versucht das Skript, das verwundbare Gravatar-Caching-Verhalten über normale HTTP-Anfragen auszulösen.

Installation

git clone https://github.com/AnggaTechI/CVE-2026-3844.git
cd CVE-2026-3844
python3 --version

Es sind keine Python-Pakete von Drittanbietern erforderlich. Das Skript verwendet ausschließlich Module aus der Python-Standardbibliothek.

Verwendung

Führen Sie das Tool aus:

python3 exploit.py

Beispiel für ein einzelnes Ziel:

[*] Target URL or file: http://localhost/lab-wp

Beispiel für eine Zielliste:

[*] Target URL or file: targets.txt
[*] Threads (default 30): 30
[*] Auto-inject on vulnerable? [y/N]: n

Beispielausgabe:

[+] Loaded 1 target(s)
[+] Scanning 1 targets with 30 threads

[+] [1/1] localhost/lab-wp -> v2.4.4 gravatar=ON
[+] VULNERABLE: 1/1
[+] Saved: result.txt

Modi

Erkennung

Das Skript prüft, ob das Ziel WordPress zu sein scheint, liest die Metadaten des Breeze-Plugins und vergleicht die erkannte Version mit dem verwundbaren Versionsbereich.

Gravatar-Status

Das Skript versucht abzuleiten, ob lokales Gravatar-Hosting aktiviert ist, indem es nach Breeze-Cache-Verweisen auf breeze-extra/gravatars sucht.

Autorisierter Payload-Test

Wenn Auto-Inject aktiviert ist, versucht das Skript, die Ausnutzbarkeit zu verifizieren, indem es einen generierten Test-Payload einsetzt und nach dessen Marker sucht.

Für lokale Labore kann das Skript direkten Dateisystemzugriff verwenden, wenn es das WordPress-Wurzelverzeichnis identifizieren kann. Für autorisierte Remote-Tests startet es einen temporären Payload-Server und versucht, den Gravatar-Caching-Ablauf von Breeze auszulösen.

Erwartete Cache-Pfade

Je nach WordPress-Konfiguration können gecachte Dateien in einer der folgenden Formen erscheinen:

/wp-content/cache/breeze-extra/gravatars/<filename>
/wp-content/cache/breeze-extra/gravatars/1/<filename>

Der erste Pfad ist bei normalen WordPress-Einzelinstallationen üblich. Der zweite kann auftreten, wenn eine Blog-/Site-ID enthalten ist.

Lab-Checkliste

Verwenden Sie diese Checkliste beim Testen in einem lokalen WordPress-Labor:

• Breeze Cache 2.4.4 ist installiert.
• Breeze Cache ist aktiv.
• Host Files Locally - Gravatars ist aktiviert.
• Mindestens eine Seite, die Avatare rendert, ist erreichbar.
• Das Cache-Verzeichnis existiert unter wp-content/cache/breeze-extra/gravatars/.
• Apache/PHP kann Dateien aus dem WordPress-Pfad wp-content ausliefern.

Fehlerbehebung

gravatar=OFF

Das Plugin ist möglicherweise aktiv, aber Breeze hat noch keine lokalen Gravatar-Cache-Dateien erzeugt. Besuchen Sie eine Seite, die Avatare rendert, oder rufen Sie im Labor einen WordPress-Pfad auf, der Avatare rendert.

not vulnerable

Häufige Ursachen sind gepatchte Breeze-Versionen, ein nicht installiertes Breeze, ein unter der URL nicht erkanntes WordPress oder ein Zielpfad, dem ein Unterverzeichnis wie /lab-wp fehlt.

Injection failed

Die Gravatar-Einstellung ist möglicherweise deaktiviert, die Website rendert Avatare möglicherweise nicht öffentlich, der Cache-Pfad ist möglicherweise nicht beschreibbar oder die Remote-Payload-URL ist vom WordPress-Server aus möglicherweise nicht erreichbar.

Verantwortungsvoller Einsatz

Dieses Repository ist für Bildung, die Reproduktion in lokalen Laboren und autorisierte Sicherheitstests gedacht. Führen Sie es nicht gegen Systeme aus, die Sie nicht besitzen oder für die Sie keine ausdrückliche Genehmigung zum Testen haben.

Referenzen

• NVD: CVE-2026-3844
• Wordfence Advisory
• WordPress Plugin Trac Changeset