AUSNUTZUNG CVE-2026-8832

Ein Ausnutzungstool zum Testen auf Remote Code Execution (RCE) -Schwachstellen im WordPress-Plugin WPCode Lite (Insert Headers and Footers) v2.3.5. Diese Schwachstelle entsteht durch die Registrierung des Custom Post Type (CPT) wpcode ohne Definition eines benutzerdefinierten capability_type. Dieses Versäumnis erlaubt jedem Benutzer mit der Autor-Rolle (oder höher) die Ausführung von beliebigem PHP-Code auf dem Server über XML-RPC.

Quelle: Erstellt basierend auf der Schwachstellenanalyse von t.me/Fanatix_Legion

⚠️ Haftungsausschluss

NUR FÜR AUTORISIERTE SICHERHEITSTESTS. Die unbefugte Nutzung dieses Tools gegen Systeme, die Ihnen nicht gehören, ist ILLEGAL. Verwenden Sie dieses Tool ausschließlich auf Systemen, für die Sie eine ausdrückliche schriftliche Genehmigung zur Durchführung von Penetrationstests haben. Der Autor übernimmt keine Haftung und ist nicht verantwortlich für Missbrauch oder Schäden, die durch dieses Programm verursacht werden.

🚀 Funktionen

• Automatisierte Ausnutzung: Führt die vollständige Exploit-Kette vom Fingerprinting bis zur Code-Ausführung in 6 automatisierten Schritten aus.
• XML-RPC-Bypass: Nutzt den wp.newPost-Endpunkt über XML-RPC, um die administrativen Schutzmechanismen der Plugin-Oberfläche zu umgehen.
• Reine PHP-Payloads: Alle integrierten Payloads werden mit reinen nativen PHP-Funktionen erstellt. Dies wurde speziell entwickelt, um disable_functions-Einschränkungen zu umgehen, die häufig in Shared-Hosting-Umgebungen (wie CloudLinux) vorkommen und Funktionen wie shell_exec und system blockieren.
• Webbasierte interaktive Shell: Enthält eine Web-GUI-Payload-Option, um PHP-Befehle einfach über einen Browser auszuführen und zu navigieren.
• Auto-Bereinigung: Entfernt sicher Test-Snippets und Auslöser-Beiträge nach der Ausführung aus der Datenbank.

📦 Anforderungen

• Python 3.6+
• requests-Bibliothek

pip install requests

🛠️ Verwendung

Führen Sie das Skript von Ihrem Terminal/der Eingabeaufforderung aus:

python wpcode_rce_tester.py

Das Tool wird Sie interaktiv nach Folgendem fragen:

1. WordPress-URL: Die Ziel-URL (z.B. http://localhost).
2. Benutzername: Ein Benutzerkontoname mit mindestens Autor-Rechten.
3. Passwort: Das Passwort für das Konto.
4. Payload: Die Payload-Auswahl, die Sie ausführen möchten (wählen Sie 1-8).

Verfügbare Payloads

1. Systeminformationen: Zeigt aktuellen Benutzer (get_current_user) und Betriebssysteminfo (php_uname).
2. Interaktive PHP-Shell via GET: Führt Konsoleneingabe als PHP-Code aus (über ?cmd=-Parameter).
3. PHP-Info: Führt phpinfo() aus.
4. WordPress-Konfigurationsleser: Liest interne WordPress-Konstanten wie Datenbank-Anmeldedaten.
5. Dateiauflistung: Listet rekursiv Dateien und Ordner in DOCUMENT_ROOT nativ mit scandir() auf.
6. Webbasierte interaktive PHP-Shell: Erstellt ein einfaches HTML-POST-Formular, um PHP-Code interaktiv im Browser einzugeben und auszuführen – besonders effektiv, wenn die Ausführung auf Betriebssystemebene blockiert ist.
7. Proof of Concept: Gibt einfach "RCE VERIFIED" aus, ohne sensible Daten zu lesen oder das System zu schädigen.
8. Benutzerdefinierte Payload: Geben Sie Ihren eigenen rohen PHP-Code zur Ausführung ein.

🛡️ Abhilfe

Um Ihre WordPress-Seite zu sichern:

1. Aktualisieren Sie sofort das WPCode Lite-Plugin auf die neueste Version.
2. Falls ein Update nicht möglich ist, deaktivieren Sie XML-RPC vollständig, wenn es nicht verwendet wird, indem Sie Folgendes zu einem Plugin oder mu-plugins hinzufügen:
   root@kitploit:~

   add_filter('xmlrpc_enabled', '__return_false');