CVE-2026-64638 — Prueba de concepto de XSS2Shell

Una herramienta de prueba de concepto (PoC) para validar CVE-2026-64638, una vulnerabilidad de Cross-Site Scripting (XSS) reflejado previo a la autenticación que afecta a instalaciones de WordPress (versiones 6.4 – 7.0.2).

Descripción general

Esta herramienta automatiza el proceso de fingerprinting, validación y generación de un PoC para CVE-2026-64638. Confirma de forma segura si una instalación de WordPress objetivo es vulnerable al XSS reflejado previo a la autenticación sin desplegar payloads maliciosos. Si se confirma que el objetivo es vulnerable, puede generar un PoC en HTML para pruebas de seguridad autorizadas e inclusión en informes de bug bounty.

Características

• Fingerprinting de versión: detecta con precisión la versión de WordPress del objetivo mediante múltiples heurísticas.
• Validación segura: prueba la reflexión del payload y los endpoints JSONP de la API REST para confirmar la explotabilidad de forma segura.
• Generación de artefactos: genera automáticamente archivos PoC en HTML, comandos de reproducción con curl y fragmentos de informe.
• Variantes de payload: admite múltiples variantes de evasión (standard, envelope, waf) para probar diferentes escenarios de filtrado.

Arquitectura / Cómo funciona

1. Fingerprinting: identifica la versión de WordPress mediante las etiquetas de generador, readme.html o parámetros de scripts encolados.
2. Validación del endpoint: confirma que wp-login.php es accesible y funcional.
3. Comprobación de reflexión del payload: envía un payload de nombre de usuario manipulado a wp-login.php y verifica si los elementos DOM requeridos (p. ej., ajaxurl, color-picker) sobreviven al saneamiento en la respuesta.
4. Comprobación del callback JSONP: prueba la funcionalidad JSONP de la API REST para verificar si es posible la evaluación de JavaScript, completando la cadena.
5. Generación de informe: recopila los hallazgos en artefactos reproducibles.

Requisitos

• Python 3.x
• Sistemas operativos compatibles: Linux, macOS, Windows
• Dependencias: requests>=2.31.0, urllib3

Instalación

Clone el repositorio e instale las dependencias necesarias:

git clone https://github.com/your-username/xss2shell-poc.git
cd xss2shell-poc
pip install -r requirements.txt

Configuración

Esta herramienta no requiere variables de entorno ni archivos de configuración complejos. Todos los parámetros se pasan directamente mediante argumentos de línea de comandos.

Uso

Ejecute la herramienta con Python 3 contra un objetivo autorizado.

Comprobación básica de vulnerabilidad (sin generación de PoC)

python3 xss2shell_poc.py -t https://target.com --check-only

Validación completa y generación de PoC

python3 xss2shell_poc.py -t https://target.com

Variantes avanzadas

Si el payload estándar es bloqueado por un WAF o el endpoint REST devuelve HTTP 401, pruebe variantes alternativas:

python3 xss2shell_poc.py -t https://target.com --variant waf
python3 xss2shell_poc.py -t https://target.com --variant envelope

Nombre de archivo PoC personalizado

python3 xss2shell_poc.py -t https://target.com -o custom_poc.html

Estructura del proyecto

.
├── .gitignore
├── CONTRIBUTING.md
├── LICENSE
├── README.md
├── SECURITY.md
├── requirements.txt
└── xss2shell_poc.py

Ejemplos

Ejemplo de salida de ejecución

Target  : https://target.com
Variant : standard
Mode    : Full PoC

[>] Phase 1 — WordPress Version Fingerprint
[+] WordPress 7.0.2 — VULNERABLE (6.4 – 7.0.2)

[>] Phase 2 — Confirm Login Page
[+] wp-login.php reachable (HTTP 200)

[>] Phase 3 — Testing XSS Payload (variant: standard)
[+] XSS PAYLOAD SURVIVED SANITIZATION!
[+] Injected DOM elements found in response: ['id="ajaxurl"', 'id="color-picker"']

[>] Phase 4 — REST API JSONP Callback Check
[+] REST JSONP callback works: https://target.com/?rest_route=/&_method=GET&_jsonp=testcb
[+] jQuery will evaluate response as script → XSS fires automatically

Seguridad

Este repositorio contiene herramientas de pruebas relacionadas con seguridad. Consulte SECURITY.md para conocer nuestra política de divulgación responsable y los requisitos de uso autorizado.

Limitaciones

• El fingerprinting de versión puede fallar si el objetivo ha implementado sólidas medidas de "seguridad por oscuridad" para ocultar su versión de WordPress.
• Los WAF pueden bloquear la comprobación de reflexión del payload incluso si el software subyacente es vulnerable.

Contribuciones

¡Agradecemos contribuciones profesionales! Consulte CONTRIBUTING.md para conocer los detalles de nuestro flujo de trabajo, estándares de calidad de código y pautas de envío.

Licencia

Este proyecto está licenciado bajo la Licencia MIT.

Créditos / Atribución

• La lógica de la vulnerabilidad se basa en avisos de seguridad públicos relacionados con CVE-2026-64638.
• La estructura del script PoC y los payloads fueron seleccionados por los colaboradores del proyecto con fines de pruebas.

Aviso legal

Destinado únicamente para uso autorizado. Este proyecto se proporciona estrictamente para pruebas de penetración autorizadas, investigación de seguridad y programas de bug bounty en los que el propietario del sistema haya otorgado permiso explícito por escrito. No utilice esta herramienta contra sistemas que no posea o para los que no tenga permiso de prueba. Los autores y colaboradores no son responsables de ningún uso indebido, daño o consecuencia legal derivada del uso de este software.