CVE-2026-23550 PoC

Un petit testeur Bash pour CVE-2026-23550. Il interroge le point de terminaison de connexion du connecteur modulaire WordPress concerné, vérifie si un cookie wordpress_logged_in_ est émis et tente de confirmer l'accès au tableau de bord d'administration.

Avertissement : Utilisez cet outil uniquement contre des systèmes que vous possédez ou pour lesquels vous disposez d'une autorisation explicite de test. Les tests de sécurité non autorisés peuvent être illégaux et perturbateurs.

Prérequis

• Bash 4+
• curl
• grep
• mktemp

Utilisation

Rendez le script exécutable :

chmod +x cve-2026-23550-poc.sh

Analysez la cible locale par défaut (http://localhost:8080) :

./cve-2026-23550-poc.sh

Analysez une seule cible en utilisant soit l'option, soit la forme positionnelle rétrocompatible :

./cve-2026-23550-poc.sh --target https://example.com
./cve-2026-23550-poc.sh https://example.com

Analysez une liste de cibles :

./cve-2026-23550-poc.sh --list targets.txt

La liste doit contenir une URL de base complète par ligne. Les lignes vides et les commentaires commençant par # sont ignorés :

# Authorized test systems
http://localhost:8080
https://staging.example.com

Les options courtes sont également prises en charge :

./cve-2026-23550-poc.sh -t https://example.com
./cve-2026-23550-poc.sh -l targets.txt

Exécutez ./cve-2026-23550-poc.sh --help pour obtenir la référence complète des commandes.

Résultats

• VULNERABLE - admin cookie issued signifie que le point de terminaison a renvoyé un cookie de connexion WordPress.
• Admin dashboard access confirmed signifie que le cookie a également permis au script de récupérer une page contenant le marqueur du tableau de bord.
• No admin cookie signifie que le cookie de connexion attendu n'a pas été trouvé ; cela ne prouve pas à lui seul que la cible est entièrement corrigée.
• Les analyses de liste se terminent par des compteurs pour les cibles analysées, les réponses vulnérables, les réponses sans cookie et les erreurs de requête.

Les requêtes réseau utilisent un délai de connexion de 5 secondes et un délai total de 15 secondes. Les redirections (par exemple http → https ou la normalisation de la barre oblique finale) sont suivies afin que la requête atteigne le point de terminaison réel, et tous les cookies émis sont capturés. Les cookie jars sont stockés dans des fichiers temporaires et supprimés après chaque cible.

Crédits

• Recherche et rapport de vulnérabilité : CVE-2026-23550 : Élévation de privilèges critique dans le plugin WordPress Modular DS (CVSS 10) — Abu Hurayra