EXPLOIT-CVE-2026-8832-

Exploit automatizado de RCE para WordPress WPCode Lite v2.3.5. Ejecuta una cadena de explotación de 6 pasos mediante bypass de XML-RPC con 8 payloads PHP integrados, incluyendo web shell y bypass de disable_functions.

• Explotación automatizada: Ejecuta la cadena completa de explotación desde la identificación hasta la ejecución de código en 6 pasos automatizados.
• Bypass de XML-RPC: Aprovecha el endpoint wp.newPost a través de XML-RPC para evitar las protecciones administrativas de la interfaz de usuario del plugin.
• Payloads PHP puros: Todos los payloads integrados están diseñados usando funciones nativas puras de PHP. Esto está específicamente diseñado para bypassear las restricciones de disable_functions comúnmente encontradas en entornos de hosting compartido (como CloudLinux) que bloquean funciones como shell_exec y system.
• Shell interactivo basado en web: Incluye una opción de payload con GUI web para navegar y ejecutar comandos PHP fácilmente desde un navegador.
• Limpieza automática: Limpia de forma segura la base de datos eliminando fragmentos de prueba y publicaciones desencadenantes después de la ejecución.

📦 Requisitos

• Python 3.6+
• Biblioteca requests

🛠️ Uso

Ejecute el script desde su terminal/símbolo del sistema:

La herramienta le pedirá interactivamente lo siguiente:

1. URL de WordPress: La URL objetivo (p.ej., http://localhost).
2. Nombre de usuario: Un nombre de usuario con al menos privilegios de Autor.
3. Contraseña: La contraseña de la cuenta.
4. Payload: La elección de payload que desea ejecutar (seleccione 1-8).

Payloads Disponibles

1. Información del Sistema: Muestra el usuario actual (get_current_user) e información del SO (php_uname).
2. Shell PHP interactivo vía GET: Ejecuta la entrada de la consola como código PHP (vía parámetro ?cmd=).
3. Info de PHP: Ejecuta phpinfo().
4. Lector de config de WordPress: Lee constantes internas de WordPress como credenciales de base de datos.
5. Listado de archivos: Lista recursivamente archivos y carpetas en DOCUMENT_ROOT de forma nativa usando scandir().
6. Shell PHP interactivo basado en web: Crea un formulario HTML POST simple para escribir y ejecutar código PHP de forma interactiva en el navegador, muy efectivo cuando la ejecución a nivel de SO está bloqueada.
7. Prueba de Concepto: Simplemente muestra 'RCE VERIFICADO' sin leer datos sensibles ni dañar el sistema.
8. Payload personalizado: Ingrese su propio código PHP en bruto para su ejecución.

🛡️ Mitigación

Para asegurar su sitio WordPress:

1. Actualice inmediatamente el plugin WPCode Lite a la última versión.
2. Si no es posible actualizar, deshabilite XML-RPC por completo si no está en uso añadiendo lo siguiente a un plugin o mu-plugins:
   root@kitploit:~

   add_filter('xmlrpc_enabled', '__return_false');