CVE-2026-3844

root@kitploit:~

╔════════════════════════════════════════════════════════════╗
║ CVE-2026-3844                                             ║
║ Breeze Cache <= 2.4.4 Arbitrary File Upload               ║
║ Unauthenticated RCE | Authorized Lab Use Only              ║
╚════════════════════════════════════════════════════════════╝

Aperçu

CVE-2026-3844 est une vulnérabilité de téléversement arbitraire de fichiers affectant les versions vulnérables du plugin WordPress Breeze Cache. Lorsque l'hébergement local de Gravatar est activé, Breeze peut récupérer des URL d'avatars et stocker le fichier téléchargé dans un répertoire de cache accessible via le web sans valider suffisamment le type de fichier.

Fonctionnement

Attacker-controlled avatar URL
        |
        v
WordPress renders an avatar
        |
        v
Breeze Gravatar local-cache handler
        |
        v
download_url() fetches the remote file
        |
        v
File is saved under wp-content/cache/breeze-extra/gravatars/
        |
        v
Web-accessible uploaded file

Le comportement vulnérable se trouve dans le flux de mise en cache des Gravatar de Breeze :

• L'URL src de l'avatar est acceptée par le gestionnaire Gravatar de Breeze.
• Le fichier distant est téléchargé via download_url() de WordPress.
• Le nom de fichier stocké est dérivé du chemin de l'URL distante.
• Les versions vulnérables ne bloquent pas suffisamment les extensions dangereuses ni ne valident le type MIME.
• Le fichier résultant peut atterrir dans un chemin de cache public.

Zone vulnérable concernée :

inc/class-breeze-cache-cronjobs.php
fetch_gravatar_from_remote()

Prérequis

Prérequis cible :

• Site WordPress utilisant Breeze Cache <= 2.4.4.
• Le plugin Breeze est actif.
• Host Files Locally - Gravatars est activé.
• Le site affiche des avatars sur au moins une page ou un point de terminaison accessible.

Notes pour le laboratoire local :

• Sur localhost, cette preuve de concept peut utiliser un chemin d'écriture direct dans le cache local lorsque le répertoire WordPress est détecté.
• Pour les tests distants autorisés, le script tente de déclencher le comportement vulnérable de mise en cache des Gravatar via des requêtes HTTP normales.

Installation

git clone https://github.com/AnggaTechI/CVE-2026-3844.git
cd CVE-2026-3844
python3 --version

Aucun paquet Python tiers n'est requis. Le script utilise uniquement les modules de la bibliothèque standard de Python.

Utilisation

Exécutez l'outil :

python3 exploit.py

Exemple avec une cible unique :

[*] Target URL or file: http://localhost/lab-wp

Exemple avec une liste de cibles :

[*] Target URL or file: targets.txt
[*] Threads (default 30): 30
[*] Auto-inject on vulnerable? [y/N]: n

Exemple de sortie :

[+] Loaded 1 target(s)
[+] Scanning 1 targets with 30 threads

[+] [1/1] localhost/lab-wp -> v2.4.4 gravatar=ON
[+] VULNERABLE: 1/1
[+] Saved: result.txt

Modes

Détection

Le script vérifie si la cible semble être WordPress, lit les métadonnées du plugin Breeze et compare la version détectée à la plage vulnérable.

Statut Gravatar

Le script tente de déduire si l'hébergement local de Gravatar est activé en recherchant les références de cache breeze-extra/gravatars de Breeze.

Test de charge utile autorisé

Lorsque l'auto-injection est activée, le script tente de vérifier l'exploitabilité en déployant une charge utile de test générée et en recherchant son marqueur.

Pour les laboratoires locaux, le script peut utiliser un accès direct au système de fichiers lorsqu'il peut identifier la racine WordPress. Pour les tests distants autorisés, il démarre un serveur de charge utile temporaire et tente de déclencher le flux de mise en cache Gravatar de Breeze.

Chemins de cache attendus

Selon la configuration WordPress, les fichiers en cache peuvent apparaître sous l'une des formes suivantes :

/wp-content/cache/breeze-extra/gravatars/<filename>
/wp-content/cache/breeze-extra/gravatars/1/<filename>

Le premier chemin est courant sur les installations WordPress mono-site normales. Le second peut apparaître lorsqu'un identifiant de blog/site est inclus.

Liste de vérification pour le laboratoire

Utilisez cette liste de vérification lorsque vous testez dans un laboratoire WordPress local :

• Breeze Cache 2.4.4 est installé.
• Breeze Cache est actif.
• Host Files Locally - Gravatars est activé.
• Au moins une page rendant des avatars est accessible.
• Le répertoire de cache existe sous wp-content/cache/breeze-extra/gravatars/.
• Apache/PHP peut servir des fichiers depuis le chemin wp-content de WordPress.

Dépannage

gravatar=OFF

Le plugin peut être actif, mais Breeze n'a pas encore généré de fichiers de cache Gravatar locaux. Visitez une page qui affiche des avatars ou appelez un chemin de rendu d'avatar WordPress dans le laboratoire.

not vulnerable

Les causes courantes sont des versions de Breeze corrigées, Breeze non installé, WordPress non détecté à l'URL, ou le chemin cible sans sous-répertoire tel que /lab-wp.

Injection failed

Le paramètre Gravatar peut être désactivé, le site peut ne pas afficher d'avatars publiquement, le chemin de cache peut ne pas être accessible en écriture, ou l'URL de la charge utile distante peut ne pas être joignable depuis le serveur WordPress.

Utilisation responsable

Ce dépôt est destiné à l'éducation, à la reproduction en laboratoire local et aux tests de sécurité autorisés. Ne l'exécutez pas contre des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas d'autorisation explicite de tester.

Références

• NVD : CVE-2026-3844
• Avis Wordfence
• Modification Trac du plugin WordPress