CVE-2026-8206 – Massen-Exploit für das Kirki WordPress Plugin

Massen-Exploit-Tool für CVE-2026-8206 – eine kritische Schwachstelle im Kirki WordPress-Plugin (Versionen ≤ 6.0.6), die es nicht authentifizierten Angreifern ermöglicht, Passwort-Reset-Links zu übernehmen und jedes Benutzerkonto, einschließlich Administratoren, zu übernehmen.

Übersicht der Schwachstelle

Das Kirki-Plugin stellt einen nicht authentifizierten REST-Endpunkt bereit (/wp-json/KirkiComponentLibrary/v1/kirki-forgot-password). Aufgrund fehlender Berechtigungsprüfungen und unzureichender E-Mail-Validierung kann ein Angreifer:

• Eine Passwort-Reset-Anfrage für jeden gültigen Benutzernamen auslösen
• Eine beliebige E-Mail-Adresse (z. B. die eigene) angeben, um den Reset-Link zu erhalten
• Die volle Kontrolle über das Zielkonto erlangen

Betroffene Versionen: ≤ 6.0.6
Behobene Version: 6.0.7

Funktionen

• Multithreaded – scannt schnell Hunderte von Zielen
• Automatische Plugin-Erkennung – prüft readme.txt und kirki.min.css (unterstützt sowohl kirki- als auch kirki-test-Ordner)
• Intelligente Nonce-Extraktion – findet Nonces aus über 12 gängigen Pfaden (Root, Login, Lostpassword usw.) mit über 10 Regex-Mustern
• Benutzernamen-Enumeration – ruft echte Benutzernamen von /wp-json/wp/v2/users ab (Fallback auf admin)

Anforderungen

• Python 2.7
• requests-Bibliothek
• concurrent.futures (Backport, normalerweise installiert)

Installiere die Abhängigkeiten:

pip install requests futures

Installation

git clone https://github.com/Jenderal92/CVE-2026-8206.git
cd CVE-2026-8206

Bearbeiten Sie das Skript, um Ihre Angreifer-E-Mail festzulegen:

ATTACKER_EMAIL = "[email protected]"   # line ~15

Verwendung

python CVE-2026-8206.py <targets_file> [threads]

• <targets_file> – Textdatei mit einer Domäne pro Zeile (mit oder ohne http:///https://)
• [threads] – optional, Anzahl der gleichzeitigen Threads (Standard: 15)

Beispiel

python CVE-2026-8206.py targets.txt 20

Beispiel für eine Eingabedatei (targets.txt)

example.com
https://vulnerable-site.com
http://127.0.0.1/wordpress

Ausgabe

• res.txt – enthält erfolgreich ausgenutzte Ziele im Format:

  root@kitploit:~

  URL|username|attacker_email|reset_link_sent_to_attacker_email
  

  Beispiel:

  root@kitploit:~

  https://example.com|admin|[email protected]|reset_link_sent_to_attacker_email
  

• Die Konsolenausgabe zeigt den Fortschritt in Echtzeit:

  • Erkannte Kirki-Version
  • Verwendeter Benutzername
  • Gefundene Nonces (gruppiert nach Quell-URL)
  • Teststatus (VALID / FAILED) für jede Nonce

So funktioniert es

1. Plugin-Erkennung – fragt /wp-content/plugins/{kirki,kirki-test}/readme.txt (Stable-Tag) und /.../kirki.min.css (Parameter ver) ab. Wenn Version ≤ 6.0.6, fortfahren.
2. Benutzernamen-Extraktion – versucht /wp-json/wp/v2/users, falls leer Fallback auf admin.
3. Nonce-Sammlung – besucht über 12 URLs (Root, Login, Passwort-vergessen-Seiten usw.) und extrahiert mit mehreren Regex-Mustern alle nonce-ähnlichen Zeichenfolgen (8+ Hex-Zeichen).
4. Exploit-Versuch – sendet für jede Nonce eine POST-Anfrage an den verwundbaren Endpunkt mit:
   • username = Zielbenutzername
   • email = E-Mail des Angreifers
   • emailBody = JSON, das den reset_link-Chip enthält
5. Erfolg – wenn der Server mit 200 und "Email sent" antwortet, wird das Ziel in geschrieben.

Wichtige Hinweise

• Der Reset-Link wird an die E-Mail des Angreifers gesendet; Sie müssen Zugriff auf dieses Postfach haben.
• Nur gültige (ausnutzbare) Ziele werden gespeichert – keine Fehlalarme.
• Verwenden Sie das Tool verantwortungsvoll und nur auf Systemen, die Ihnen gehören oder für die Sie eine ausdrückliche Testgenehmigung haben.

Haftungsausschluss

Dieses Tool wird ausschließlich für Bildungszwecke und autorisierte Sicherheitstests bereitgestellt. Die unbefugte Verwendung gegen Systeme, die Ihnen nicht gehören oder für die Sie keine Testberechtigung haben, ist illegal. Der Autor übernimmt keine Verantwortung für Missbrauch oder Schäden, die durch dieses Tool verursacht werden.

Weitere Haftungsausschlüsse finden Sie auf dem Cover von Jenderal92. Sie können es HIER !!! einsehen.

Referenzen

• CVE-2026-8206 (sobald veröffentlicht)
• Änderungsprotokoll des Kirki-Plugins