CVE-2026-64638 — Prueba de concepto de XSS2Shell

Una herramienta de prueba de concepto (PoC) para validar CVE-2026-64638, una vulnerabilidad de Cross-Site Scripting (XSS) reflejado previa a la autenticación que afecta a instalaciones de WordPress (versiones 6.4 – 7.0.2).

Descripción general

Esta herramienta automatiza el proceso de fingerprinting, validación y generación de una PoC para CVE-2026-64638. Confirma de forma segura si una instalación de WordPress objetivo es vulnerable al XSS reflejado previo a la autenticación sin desplegar payloads maliciosos. Si se confirma que el objetivo es vulnerable, puede generar una PoC en HTML para pruebas de seguridad autorizadas y su inclusión en informes de bug bounty.

Características

• Fingerprinting de versión: Detecta con precisión la versión de WordPress objetivo mediante múltiples heurísticas.
• Validación segura: Prueba la reflexión del payload y los endpoints JSONP de la REST API para confirmar la explotabilidad de forma segura.
• Generación de artefactos: Genera automáticamente archivos PoC en HTML, comandos de reproducción con curl y fragmentos de informe.
• Variantes de payload: Admite múltiples variantes de bypass (standard, envelope, waf) para probar distintos escenarios de filtrado.

Arquitectura / Cómo funciona

1. Fingerprinting: Identifica la versión de WordPress mediante etiquetas generator, readme.html o parámetros de scripts encolados.
2. Validación de endpoints: Confirma que wp-login.php es accesible y funcional.
3. Comprobación de reflexión del payload: Envía un payload de nombre de usuario manipulado a wp-login.php y comprueba si los elementos DOM requeridos (p. ej., ajaxurl, color-picker) sobreviven al saneamiento en la respuesta.
4. Comprobación de callback JSONP: Prueba la funcionalidad JSONP de la REST API para verificar si es posible la evaluación de JavaScript, completando la cadena.
5. Generación de informes: Recopila los hallazgos en artefactos reproducibles.

Requisitos

• Python 3.x
• Sistemas operativos compatibles: Linux, macOS, Windows
• Dependencias: requests>=2.31.0, urllib3

Instalación

Clona el repositorio e instala las dependencias requeridas:

git clone https://github.com/eh-amish/xss2shell-poc.git
cd xss2shell-poc
pip install -r requirements.txt

Configuración

Esta herramienta no requiere variables de entorno ni archivos de configuración complejos. Todos los parámetros se pasan directamente mediante argumentos de línea de comandos.

Uso

Ejecute la herramienta con Python 3 contra un objetivo autorizado.

Comprobación básica de vulnerabilidades (sin generación de PoC)

python3 xss2shell_poc.py -t https://target.com --check-only

Validación completa y generación de PoC

python3 xss2shell_poc.py -t https://target.com

Variantes avanzadas

Si el payload estándar está bloqueado por un WAF o el endpoint REST devuelve HTTP 401, pruebe variantes alternativas:

python3 xss2shell_poc.py -t https://target.com --variant waf
python3 xss2shell_poc.py -t https://target.com --variant envelope

Nombre de archivo personalizado del PoC

python3 xss2shell_poc.py -t https://target.com -o custom_poc.html

Estructura del proyecto

.
├── .gitignore
├── CONTRIBUTING.md
├── LICENSE
├── README.md
├── SECURITY.md
├── requirements.txt
└── xss2shell_poc.py

Ejemplos

Salida de ejecución de ejemplo

Target  : https://target.com
Variant : standard
Mode    : Full PoC

[>] Phase 1 — WordPress Version Fingerprint
[+] WordPress 7.0.2 — VULNERABLE (6.4 – 7.0.2)

[>] Phase 2 — Confirm Login Page
[+] wp-login.php reachable (HTTP 200)

[>] Phase 3 — Testing XSS Payload (variant: standard)
[+] XSS PAYLOAD SURVIVED SANITIZATION!
[+] Injected DOM elements found in response: ['id="ajaxurl"', 'id="color-picker"']

[>] Phase 4 — REST API JSONP Callback Check
[+] REST JSONP callback works: https://target.com/?rest_route=/&_method=GET&_jsonp=testcb
[+] jQuery will evaluate response as script → XSS fires automatically

Seguridad

Este repositorio contiene herramientas de pruebas relacionadas con la seguridad. Consulte SECURITY.md para conocer nuestra política de divulgación responsable y los requisitos de uso autorizado.

Limitaciones

• La identificación de la versión puede fallar si el objetivo ha implementado medidas robustas de "seguridad por oscuridad" para ocultar su versión de WordPress.
• Los WAF pueden bloquear la comprobación de reflexión de payload incluso si el software subyacente es vulnerable.

Contribuciones

¡Damos la bienvenida a contribuciones profesionales! Consulte CONTRIBUTING.md para obtener detalles sobre nuestro flujo de trabajo, estándares de calidad del código y directrices de envío.

Licencia

Este proyecto está licenciado bajo la Licencia MIT.

Créditos / Atribución

• La lógica de la vulnerabilidad se basa en avisos de seguridad disponibles públicamente sobre CVE-2026-64638.
• La estructura del script PoC y los payloads fueron seleccionados por los colaboradores del proyecto con fines de prueba.

Descargo de responsabilidad

Destinado únicamente a uso autorizado. Este proyecto se proporciona estrictamente para pruebas de penetración autorizadas, investigación de seguridad y programas de bug bounty en los que el propietario del sistema haya otorgado permiso explícito y por escrito. No utilice esta herramienta contra sistemas que no sean de su propiedad o para los que no tenga permiso para probar. Los autores y colaboradores no son responsables de ningún uso indebido, daño o consecuencia legal derivada del uso de este software.