EXPLOIT-CVE-2026-8832

Exploit automatizado de RCE para WordPress WPCode Lite v2.3.5 (CVE-2026-8832) con 8 payloads PHP incorporados, bypass de XML-RPC y shell interactivo basado en web para pruebas de penetración autorizadas.

• Explotación Automatizada: Ejecuta la cadena completa de explotación, desde el reconocimiento hasta la ejecución de código, en 6 pasos automatizados.
• Bypass de XML-RPC: Utiliza el endpoint wp.newPost a través de XML-RPC para eludir las protecciones administrativas de la interfaz de usuario del plugin.
• Payloads PHP Puros: Todos los payloads incorporados están diseñados usando funciones nativas puras de PHP. Esto está específicamente diseñado para eludir las restricciones de disable_functions comunes en entornos de alojamiento compartido (como CloudLinux), que bloquean funciones como shell_exec y system.
• Shell Interactivo Basado en Web: Incluye una opción de payload con interfaz gráfica web para navegar y ejecutar comandos PHP fácilmente desde un navegador.
• Limpieza Automática: Elimina de forma segura los fragmentos de prueba y los posts desencadenantes de la base de datos después de la ejecución.

📦 Requisitos

• Python 3.6+
• Librería requests

🛠️ Uso

Ejecute el script desde su terminal/símbolo del sistema:

La herramienta le solicitará de forma interactiva lo siguiente:

1. URL de WordPress: La URL objetivo (ej. http://localhost).
2. Nombre de usuario: El nombre de una cuenta de usuario con al menos privilegios de Autor.
3. Contraseña: La contraseña de la cuenta.
4. Payload: La opción de payload que desea ejecutar (seleccione 1-8).

Payloads Disponibles

1. Información del Sistema: Muestra el usuario actual (get_current_user) e información del SO (php_uname).
2. Shell PHP Interactivo vía GET: Ejecuta la entrada de la consola como código PHP (a través del parámetro ?cmd=).
3. PHP Info: Ejecuta phpinfo().
4. Lector de Configuración de WordPress: Lee constantes internas de WordPress, como las credenciales de la base de datos.
5. Listado de Archivos: Lista recursivamente archivos y carpetas en DOCUMENT_ROOT de forma nativa usando scandir().
6. Shell PHP Interactivo Basado en Web: Crea un formulario HTML POST simple para escribir y ejecutar código PHP de forma interactiva en el navegador, muy eficaz cuando la ejecución a nivel de sistema está bloqueada.
7. Prueba de Concepto: Simplemente muestra "RCE VERIFICADO" sin leer datos sensibles ni dañar el sistema.
8. Payload Personalizado: Introduzca su propio código PHP sin procesar para ejecutarlo.

🛡️ Corrección

Para proteger su sitio WordPress:

1. Actualice inmediatamente el plugin WPCode Lite a la última versión.
2. Si no es posible actualizar, deshabilite completamente XML-RPC si no está en uso, añadiendo lo siguiente a un plugin o mu-plugins:
   root@kitploit:~

   add_filter('xmlrpc_enabled', '__return_false');