CVE‑2026‑64638 – Suite de Seguridad XSS2Shell de WordPress

** SOLO USO ÉTICO – PRUEBAS DE SEGURIDAD AUTORIZADAS**
Este repositorio proporciona herramientas únicamente para profesionales de seguridad autorizados, equipos azules y probadores de penetración.
El acceso no autorizado a sistemas informáticos es ilegal según la CFAA (EE. UU.), la Computer Misuse Act (Reino Unido), el TCK 243/244 (Turquía) y leyes similares en todo el mundo.

---

Descripción de la Vulnerabilidad

CVE‑2026‑64638 es una vulnerabilidad crítica de XSS reflejado pre‑autenticación en versiones del núcleo de WordPress 4.7.0 hasta 7.0.2 que permite a un atacante escalar un ataque XSS a ejecución remota de código (RCE) completa mediante la función de Contraseña de Aplicación.

Cómo funciona

1. Diferencial de Analizador – El strip_tags() de PHP y el wp_kses_post() de WordPress analizan las etiquetas HTML de forma diferente, permitiendo que la entrada maliciosa pase la sanitización.
2. XSS Reflejado – un atacante inyecta un payload especialmente diseñado en el formulario de inicio de sesión (wp-login.php). Tras un inicio de sesión fallido, el payload se refleja y se ejecuta en el navegador de la víctima.
3. Abuso de Contraseña de Aplicación – el JavaScript inyectado genera automáticamente una Contraseña de Aplicación a través de la API REST de WordPress, exfiltrándola al atacante.
4. Carga de Plugin (RCE) – usando la Contraseña de Aplicación capturada, el atacante se autentica en el panel de administración y sube un plugin malicioso que contiene un webshell.
5. Compromiso Total del Sistema – el webshell proporciona ejecución de comandos del sistema, permitiendo reverse shells, persistencia, movimiento lateral y toma de control completa del servidor.

Versiones Afectadas

• WordPress 4.7.0 – 7.0.2 – vulnerable
• WordPress 7.0.3 y posteriores – parcheado
• Las actualizaciones de seguridad se han retroportado a todas las ramas mantenidas

Parche

• Actualice a WordPress 7.0.3 o superior.
• Si la actualización no es posible, deshabilite la función de Contraseña de Aplicación como solución temporal.

---

Herramientas

Herramienta	Propósito	Usuario Previsto
exploit.py	Kit de explotación completo con reverse shell, persistencia, C2, escalada de privilegios, forense de memoria, volcado de base de datos, extracción de claves SSH y escaneo masivo.	Equipos rojos / pentesters autorizados
safecheck.py	Comprobador de vulnerabilidades no intrusivo que detecta la reflexión XSS y evalúa la postura de seguridad sin ejecutar ningún payload malicioso. Genera informes detallados.	Equipos azules / auditores de seguridad

---

Comparación de Características

Característica	exploit.py	safecheck.py
Detección de vulnerabilidades	[+]	[+]
Detección de versión de WordPress	[+]	[+]
Detección de reflexión XSS	[+]	[+]
Captura de Contraseña de Aplicación	[+]	[-]
Carga de plugin (RCE)	[+]	[-]
Reverse shell	[+]	[-]
Baliza C2 (HTTP/DNS/Telegram)	[+]	[-]
Escalada de privilegios	[+]	[-]
Forense de memoria	[+]	[-]
Volcado de base de datos	[+]	[-]
Extracción de claves SSH	[+]	[-]
Métodos de persistencia	[+]	[-]
Auditoría de cabeceras de seguridad	[-]	[+]
Comprobación de exposición de archivos de configuración	[-]	[+]
Comprobación de listado de directorios	[-]	[+]
Comprobación de exposición de phpinfo	[-]	[+]
Escaneo masivo	[+]	[+]
Soporte de proxy	[+]	[+]
Soporte de Tor	[+]	[+]
Túnel Ngrok	[+]	[-]
Shell interactiva	[+]	[-]
Modo no intrusivo (seguro)	[-]	[+]
Salida JSON / informe	[+]	[+]

---

Resumen de Casos de Uso

Escenario	Herramienta Recomendada
Equipo Azul – verificar si su instalación de WordPress es vulnerable	safecheck.py
Auditoría de Seguridad – evaluación de vulnerabilidades no intrusiva	safecheck.py
Equipo Rojo – pruebas de penetración autorizadas con explotación completa	exploit.py
Bug Bounty – pruebas de divulgación responsable	safecheck.py
Escaneo Masivo – comprobar múltiples objetivos en busca de vulnerabilidades	exploit.py o safecheck.py
Respuesta a Incidentes – comprobar si los sistemas están comprometidos	safecheck.py
Post‑Explotación Avanzada – persistencia, C2, forense	exploit.py

---

Instalación

git clone https://github.com/tc4dy/CVE-2026-64638-PoC-Exploit
cd CVE-2026-64638-PoC-Exploit
pip install -r requirements.txt

requirements.txt

requests
urllib3
#ops
pymysql
mysql-connector-python
PySocks
requests[socks]

Parámetros

Parámetros de exploit.py

Parámetro	Descripción
-t, --target	URL de WordPress objetivo (ej. https://wordpress-site.com)
-l, --list	Archivo que contiene la lista de objetivos (uno por línea) para escaneo masivo
--lhost	Dirección IP local para callbacks de reverse shell
--lport	Puerto local para reverse shell (por defecto: 4444)
--proxy	Proxy HTTP/HTTPS (ej. http://127.0.0.1:8080)
--timeout	Tiempo de espera de solicitud en segundos (por defecto: 10)
--retry	Número de reintentos (por defecto: 3)
--threads	Número de hilos para escaneo masivo (por defecto: 5)
--exploit	Auto‑explotar objetivos vulnerables durante el escaneo masivo
--ngrok-token	Authtoken de Ngrok para túnel externo
--payload-type	Tipo de payload XSS: reflected, dom_based, waf_bypass, case_manipulation, double_encoded
--session-hijack	Habilitar secuestro de sesión (robar cookies de administrador)
--dump-db	Volcar la base de datos de WordPress (requiere pymysql)
--extract-ssh	Extraer claves SSH del sistema objetivo
--tor	Enrutar el tráfico a través de Tor (socks5h://127.0.0.1:9050)
--stealth	Habilitar modo sigiloso (suplantar cabeceras, retrasar solicitudes)
--no-cleanup	Omitir la limpieza de registros tras la explotación
--ssl-verify	Verificar certificados SSL
--c2-type	Tipo de C2: http, dns, telegram
--c2-server	URL del servidor C2 o token del bot de Telegram
--auto-priv-esc	Escalada de privilegios automática tras el shell
--memory-forensics	Habilitar módulo de forense de memoria
-v, --verbose	Salida detallada
-q, --quiet	Modo silencioso (salida mínima)

Parámetros de safecheck.py