CVE-2026-8832

Résumé

Le plugin WPCode - Insert Headers and Footers + Custom Code Snippets - WordPress Code Manager pour WordPress est vulnérable à l'exécution de code à distance dans les versions jusqu'à la 2.3.5 incluse. Cela est dû au fait que le type de publication personnalisé 'wpcode' est enregistré sans capability_type personnalisée ni restrictions de capacités dans la fonction wpcode_register_post_type(), ce qui permet au cœur de WordPress de revenir aux capacités de publication standard pour tous les chemins de création, y compris XML-RPC. Cela permet à des attaquants authentifiés, disposant d'un niveau d'accès auteur ou supérieur, de créer et de publier des publications de snippets PHP exécutables via XML-RPC wp.newPost, qui sont ensuite exécutées côté serveur via eval() dans la fonction run_eval() lorsque le snippet est rendu via le shortcode [wpcode].

• EXPLOIT-CVE-2026-8832Exploit

  Exploit RCE automatisé pour WordPress WPCode Lite v2.3.5 (CVE-2026-8832) avec 8 payloads PHP intégrés, contournement XML-RPC, et shell interactif basé sur le web pour les tests de pénétration autorisés.

• EXPLOIT-CVE-2026-8832-Exploit

  Exploit RCE automatisé pour WordPress WPCode Lite v2.3.5. Exécute une chaîne d'exploitation en 6 étapes via le contournement XML-RPC avec 8 charges utiles PHP intégrées, y compris le contournement de web shell et disable_functions.