CVE-2026-8732 — WP Maps Pro Unauthenticated Admin Creation

English | Türkçe | Deutsch

English

Overview

CVE-2026-8732 is a critical vulnerability (CVSS 9.8) in the WP Maps Pro (wp-google-map-gold) WordPress plugin (version <= 6.1.0). Unauthenticated attackers can create WordPress administrator accounts by abusing the wpgmp_temp_access_ajax AJAX action. The nonce protecting the endpoint is publicly embedded in frontend pages, rendering it ineffective as an access control mechanism.

Authors: fientix & quake

Features

• Single URL scanning or bulk multi-target scanning via list (-l).
• Multi-threaded execution (-t).
• Automatic saving of vulnerable administrator credentials (-o).
• Custom request timeout (--timeout).
• Verbose console logging (-v).

Usage

# Single Target Scan
python CVE-2026-8732.py -u https://example.com -v

# Multi-Target Bulk Scan & Save Results
python CVE-2026-8732.py -l targets.txt -t 20 -o success.txt

# Custom Timeout (Seconds)
python CVE-2026-8732.py -l targets.txt --timeout 15

Türkçe

Genel Bakış

CVE-2026-8732, WP Maps Pro (wp-google-map-gold) WordPress eklentisinin <= 6.1.0 sürümlerinde bulunan kritik düzeyde (CVSS 9.8) bir zafiyettir. Yetkisiz saldırganlar, wpgmp_temp_access_ajax AJAX eylemini kötüye kullanarak yetkisiz şekilde yönetici (admin) hesabı oluşturabilirler. İsteği koruması gereken nonce değeri ön yüzde herkese açık olarak yayınlandığından erişim kontrolü işlevini yitirmektedir.

Yazarlar: fientix & quake

Özellikler

• Tek hedef URL taraması veya liste üzerinden toplu tarama (-l).
• Çoklu iş parçacığı (multi-threading) desteği (-t).
• Başarılı yönetici hesaplarını dosyaya kaydetme (-o).
• İsteğe bağlı zaman aşımı süresi ayarlama (--timeout).
• Detaylı konsol çıktısı (-v).

Kullanım

# Tek Hedef Taraması
python CVE-2026-8732.py -u https://example.com -v

# Çoklu Hedef Taraması ve Sonuçları Kaydetme
python CVE-2026-8732.py -l targets.txt -t 20 -o success.txt

# Özel Zaman Aşımı Süresi (Saniye)
python CVE-2026-8732.py -l targets.txt --timeout 15

Deutsch

Überblick

CVE-2026-8732 ist eine kritische Schwachstelle (CVSS 9.8) im WP Maps Pro (wp-google-map-gold) WordPress-Plugin (Version <= 6.1.0). Nicht authentifizierte Angreifer können WordPress-Administratorkonten erstellen, indem sie die AJAX-Aktion wpgmp_temp_access_ajax missbrauchen. Das Nonce, das den Endpunkt schützen soll, ist öffentlich in Frontend-Seiten eingebettet, wodurch es als Zugriffskontrollmechanismus wirkungslos wird.

Autoren: fientix & quake

Funktionen

• Einzelziel-Scan oder Massen-Scan mehrerer Ziele über eine Liste (-l).
• Multithread-Ausführung (-t).
• Automatisches Speichern gefährdeter Administrator-Anmeldedaten (-o).
• Benutzerdefiniertes Request-Timeout (--timeout).
• Ausführliche Konsolenprotokollierung (-v).

Verwendung

# Einzelziel-Scan
python CVE-2026-8732.py -u https://example.com -v

# Massen-Scan mehrerer Ziele und Speichern der Ergebnisse
python CVE-2026-8732.py -l targets.txt -t 20 -o success.txt

# Benutzerdefiniertes Timeout (Sekunden)
python CVE-2026-8732.py -l targets.txt --timeout 15

"Vielen Dank für deine Unterstützung bei diesem Projekt, @Quake-py"