CVE-2026-8181 - Exploit de Bypass de Autenticación en Burst Statistics

Python 2.7 exploit para la vulnerabilidad del plugin Burst Statistics (CVE-2026-8181) que permite a atacantes no autenticados evadir la autenticación de la API REST, recuperar contraseñas de aplicación y crear nuevos usuarios administradores en sitios WordPress vulnerables.

⚠️ Aviso
Esta herramienta es solo para fines educativos y de pruebas de seguridad autorizadas. El acceso no autorizado a sistemas informáticos es ilegal. Úsela únicamente en sitios que posea o para los que tenga permiso explícito de prueba. Puede ver el aviso de exención de responsabilidad en la portada de Jenderal92. Puede consultarlo AQUÍ !!!

CVE-2026-8181 afecta al plugin Burst Statistics para WordPress (versiones anteriores al parche). La falla reside en el mecanismo de autenticación de la API REST, permitiendo a un atacante:

• Evadir la autenticación enviando un encabezado X-BURSTMAINWP manipulado
• Recuperar contraseñas de aplicación a través del endpoint /burst/v1/mainwp-auth
• Realizar acciones privilegiadas (listar usuarios, leer configuraciones, crear nuevas cuentas de administrador) a través de la API REST de WordPress

Características

• Escaneo multi-hilo (10 hilos por defecto)
• Detección automática de rutas base de WordPress (/, /wordpress, /wp)
• Enumeración de nombres de usuario mediante /wp-json/wp/v2/users o redirecciones por ID de autor
• Explotación del bypass de autenticación para:
  • Obtener contraseñas de aplicación (token codificado en Base64)
  • Verificar acceso a endpoints REST sensibles (configuraciones, plugins, usuarios administradores)
  • Crear un nuevo usuario administrador con credenciales aleatorias
• Dos archivos de salida:
  • res_login.txt – Credenciales de API REST concisas, separadas por tubería (fáciles de analizar/importar)
  • full_res_login.txt – Informe completo legible por humanos que incluye verificación de acceso y contraseñas de aplicación

Requisitos

• Python 2.7 (obsoleto pero requerido por el script)
• librería requests

pip install requests

Uso

1. Prepare un archivo de lista de objetivos (un dominio o IP por línea, con o sin http:///https://).

   Ejemplo targets.txt:

   root@kitploit:~

   example.com
   https://vulnerable-site.com
   127.0.0.1/wordpress
   

2. Ejecute el exploit:

python2 CVE-2026-8181.py targets.txt

3. Los resultados se guardan en dos archivos en el directorio actual:
   • res_login.txt – Credenciales de API REST (una línea por objetivo vulnerable)
   • full_res_login.txt – Informe detallado

Opciones de línea de comandos

Ejemplo de salida (consola)

============================================================
CVE-2026-8181 - Exploit de Bypass de Autenticación en Burst Statistics
============================================================
[*] Total de objetivos: 2
[*] Hilos: 10
[*] Rutas base: ['', '/wordpress', '/wp']

[*] Escaneando: example.com
    Probando ruta: /
    Nombre de usuario detectado: admin
    [+] ¡VULNERABLE! Bypass de API REST exitoso
    [+] ¡Contraseña de aplicación obtenida!
    [+]   Usuario: admin
    [+]   Contraseña de aplicación: xxxx xxxx xxxx
    [+]   Token Base64: YWRtaW46eHh4eA==
    [+] Acceso confirmado: configuraciones de WordPress
    [+] Acceso confirmado: plugins instalados
    [+] Acceso confirmado: usuarios administradores
    [+] Usuario administrador creado mediante API REST: wp_abc123
    [+] Resultados guardados en res_login.txt y full_res_login.txt

Formatos de archivos de salida

1. res_login.txt – Credenciales de API REST concisas

Cada línea sigue el siguiente formato separado por tubería:

target|username|password|email|user_id

Ejemplo:

http://example.com|wp_xyz789|AbC123xyz456|[email protected]|42

Este formato es ideal para:

• Importar en gestores de contraseñas o bases de datos
• Automatizar acciones adicionales (por ejemplo, scripts de inicio de sesión)
• Inspección rápida con cut, grep o Excel

2. full_res_login.txt – Informe detallado completo

Para cada objetivo vulnerable, el script añade un bloque legible por humanos:

============================================================
Objetivo: http://example.com
============================================================

[+] Verificación de acceso:
    [+] Configuraciones de WordPress
    [+] Plugins instalados
    [+] Usuarios administradores

[+] Credenciales de API REST:
    Usuario: wp_abc123
    Contraseña: random12char
    Correo electrónico: [email protected]
    ID de usuario: 42
    URL: http://example.com/wp-admin/
    Nota: Usar con el encabezado X-BURSTMAINWP

[+] Contraseña de aplicación:
    Usuario: admin
    Contraseña de aplicación: xxxx xxxx xxxx
    Token Base64: YWRtaW46eHh4eA==

Nota: Si el endpoint de contraseña de aplicación no está disponible o no devuelve ningún token, esa sección mostrará FALLÓ.

Cómo funciona

1. Preparación del objetivo – Agrega prefijo http:// si falta, elimina barras diagonales finales.
2. Iteración de rutas – Prueba /, /wordpress y /wp como directorios base de WordPress.
3. Enumeración de nombres de usuario – Obtiene /wp-json/wp/v2/users o usa redirecciones ?author=N.
4. Prueba de bypass – Envía X-BURSTMAINWP: 1 + autenticación básica con nombre de usuario y contraseña ficticia (CVE-2026-8181). Si el endpoint /wp-json/wp/v2/users/me?context=edit devuelve 200, el sitio es vulnerable.
5. Explotación –
   • Solicita /wp-json/burst/v1/mainwp-auth para recuperar un token de contraseña de aplicación.
   • Verifica acceso a /settings, /plugins, .

Personalización

Puede modificar estas variables dentro del script:

• THREADS – Número de hilos concurrentes (10 por defecto)
• BASE_PATHS – Subdirectorios adicionales de WordPress a verificar
• Valores de tiempo de espera de requests

Licencia

Este proyecto se proporciona únicamente con fines educativos. Úselo bajo su propio riesgo.

Referencias

• Detalle de CVE-2026-8181 (hipotético)
• Plugin Burst Statistics (versiones afectadas)