CVE-2026-4106: Exploit de Divulgación de PII No Autenticada en WordPress HT Mega

Un exploit de Prueba de Concepto (PoC) robusto y multiproceso para CVE-2026-4106, dirigido al plugin HT Mega - Absolute Addons for Elementor para WordPress (versiones < 3.0.7).

Resumen de la Vulnerabilidad

El plugin HT Mega registra varios hooks wp_ajax_nopriv_ (por ejemplo, wcsales_purchased_products, htmega_user_list_ajax) para obtener contenido dinámico para sus widgets. Sin embargo, no implementa comprobaciones adecuadas de autorización (current_user_can) ni de autenticación (check_ajax_referer).

Esto permite que atacantes remotos no autenticados envíen solicitudes AJAX manipuladas y extraigan Información de Identificación Personal (PII) altamente sensible directamente de la base de datos de WordPress, incluyendo:

• Nombres de clientes (Nombre/Apellido)
• Direcciones de facturación (Ciudad, País, Estado)
• Artículos comprados y precios
• Listas de usuarios y envíos de formularios de contacto

Características

• Escáner masivo de alta velocidad: Motor multiproceso capaz de escanear miles de objetivos simultáneamente.
• Mecanismos de evasión de WAF: Suplantación automática de IP (X-Forwarded-For) y rotación aleatoria de User-Agent para evadir cortafuegos de aplicaciones web estándar.
• Registro de doble salida: Extrae automáticamente los datos en un exploited_PII.json legible por máquina y un exploited_summary.txt limpio y apto para grep.
• Soporte SSL heredado: Adaptador de degradación SSL/TLS integrado para evitar errores de handshake en servidores objetivo antiguos (corrección de TLSV1_ALERT_INTERNAL_ERROR).
• Filtrado de falsos positivos: Ignora automáticamente dominios estacionados, páginas suspendidas (por ejemplo, Bluehost) y respuestas HTML que no son JSON.

Instalación

Clona el repositorio e instala las dependencias requeridas:

git clone https://github.com/ef3tr/CVE-2026-4106.git
cd CVE-2026-4106
pip install -r requirements.txt

Uso

Puedes ejecutar el exploit en dos modos: Objetivo Único o Escaneo Masivo.

python exploit.py

Ejemplo de Salida (exploited_summary.txt):

[+] Target: https://example.com | Action: wcsales_purchased_products | Date: 2026-04-11 08:30:15
    -> Buyer: John Doe | Location: Berlin/Deutschland | Item: Premium Package | Price: €375 | URL: https://example.com/product/premium/
    -> Buyer: Jane Smith | Location: London/UK | Item: Basic Package | Price: €150 | URL: https://example.com/product/basic/

Descargo de Responsabilidad

Esta herramienta se proporciona únicamente con fines educativos y de investigación ética en seguridad. El autor no es responsable de ningún uso indebido o daño causado por este programa. Utilice este software únicamente en sistemas que le pertenezcan o para los que tenga permiso explícito de prueba.

Referencias

WPScan

CVE-2026-4106