CVE-2026-8206 - Exploit Masivo del Plugin Kirki de WordPress

Herramienta de explotación masiva para CVE-2026-8206 – una vulnerabilidad crítica en el plugin Kirki de WordPress (versiones ≤ 6.0.6) que permite a atacantes no autenticados secuestrar enlaces de restablecimiento de contraseña y tomar el control de cualquier cuenta de usuario, incluidos los administradores.

Resumen de la Vulnerabilidad

El plugin Kirki expone un endpoint REST no autenticado (/wp-json/KirkiComponentLibrary/v1/kirki-forgot-password). Debido a la falta de comprobaciones de permisos y una validación de correo electrónico inadecuada, un atacante puede:

• Solicitar un restablecimiento de contraseña para cualquier nombre de usuario válido
• Proporcionar una dirección de correo electrónico arbitraria (por ejemplo, la suya propia) para recibir el enlace de restablecimiento
• Obtener control total sobre la cuenta objetivo

Versiones afectadas: ≤ 6.0.6
Versión corregida: 6.0.7

Características

• Multihilo – escanea cientos de objetivos rápidamente
• Detección automática del plugin – verifica readme.txt y kirki.min.css (soporta tanto las carpetas kirki como kirki-test)
• Extracción inteligente de nonces – encuentra nonces desde más de 12 rutas comunes (raíz, inicio de sesión, pérdida de contraseña, etc.) utilizando más de 10 patrones regex
• Enumeración de nombres de usuario – obtiene nombres de usuario reales desde /wp-json/wp/v2/users (alternativa: admin)

Requisitos

• Python 2.7
• Biblioteca requests
• concurrent.futures (backport, normalmente ya instalado)

Instalar dependencias:

pip install requests futures

Instalación

git clone https://github.com/Jenderal92/CVE-2026-8206.git
cd CVE-2026-8206

Edite el script para establecer su correo electrónico de atacante:

ATTACKER_EMAIL = "[email protected]"   # línea ~15

Uso

python CVE-2026-8206.py <archivo_de_objetivos> [hilos]

• <archivo_de_objetivos> – archivo de texto con un dominio por línea (con o sin http:///https://)
• [hilos] – opcional, número de hilos concurrentes (por defecto: 15)

Ejemplo

python CVE-2026-8206.py objetivos.txt 20

Ejemplo de archivo de entrada (objetivos.txt)

example.com
https://vulnerable-site.com
http://127.0.0.1/wordpress

Salida

• res.txt – contiene los objetivos explotados con éxito en el formato:

  URL|usuario|correo_atacante|reset_link_enviado_al_correo_del_atacante
  

  Ejemplo:

  https://example.com|admin|[email protected]|reset_link_enviado_al_correo_del_atacante
  

• La salida en consola muestra el progreso en tiempo real:

  • Versión de Kirki detectada
  • Nombre de usuario utilizado
  • Nonces encontrados (agrupados por URL de origen)
  • Estado de la prueba (VÁLIDO / FALLIDO) para cada nonce

Cómo Funciona

1. Detección del plugin – solicita /wp-content/plugins/{kirki,kirki-test}/readme.txt (Stable tag) y /.../kirki.min.css (parámetro ver). Si la versión ≤ 6.0.6, continúa.
2. Extracción de nombre de usuario – intenta /wp-json/wp/v2/users, si está vacío utiliza admin como alternativa.
3. Recolección de nonces – visita más de 12 URLs (raíz, inicio de sesión, páginas de olvido de contraseña, etc.) y extrae cualquier cadena similar a un nonce (8+ caracteres hexadecimales) mediante múltiples patrones regex.
4. Intento de explotación – para cada nonce, envía una solicitud POST al endpoint vulnerable con:
   • username = nombre de usuario objetivo
   • email = correo del atacante
   • emailBody = JSON que incluye el chip reset_link
5. Éxito – si el servidor responde con 200 y "Email sent", el objetivo se escribe en res.txt.

Notas Importantes

• El enlace de restablecimiento se envía al correo del atacante; debe tener acceso a esa bandeja de entrada.
• Solo se guardan los objetivos válidos (explotables) – sin falsos positivos.
• Úselo de manera responsable y solo en sistemas que posea o para los que tenga permiso explícito de prueba.

Descargo de Responsabilidad

Este software se proporciona únicamente con fines educativos y de pruebas de seguridad autorizadas. El uso no autorizado contra sistemas que no posea o para los que no tenga permiso para probar es ilegal. El autor no se hace responsable por cualquier mal uso o daño causado por esta herramienta.

Puede ver más descargos de responsabilidad en la portada de Jenderal92. Puede consultarlos AQUÍ !!!

Referencias

• CVE-2026-8206 (cuando se publique)
• Registro de cambios del plugin Kirki