CVE-2026-64638 — Preuve de concept XSS2Shell

Un outil de preuve de concept (PoC) pour valider CVE-2026-64638, une vulnérabilité de Cross-Site Scripting (XSS) réfléchi pré-authentification affectant les installations WordPress (versions 6.4 – 7.0.2).

Aperçu

Cet outil automatise le processus d'empreinte, de validation et de génération d'une PoC pour CVE-2026-64638. Il confirme de manière sûre si une installation WordPress cible est vulnérable au XSS réfléchi pré-authentification sans déployer de charges malveillantes. Si la cible est confirmée vulnérable, il peut générer une PoC HTML pour des tests de sécurité autorisés et une inclusion dans des rapports de bug bounty.

Fonctionnalités

Empreinte de version : Détecte avec précision la version de WordPress cible à l'aide de plusieurs heuristiques.
Validation sûre : Teste la réflexion de la charge utile et les points de terminaison JSONP de l'API REST pour confirmer l'exploitabilité en toute sécurité.
Génération d'artefacts : Génère automatiquement des fichiers PoC HTML, des commandes de reproduction curl et des extraits de rapport.
Variantes de charge utile : Prend en charge plusieurs variantes de contournement (standard, envelope, waf) pour tester différents scénarios de filtrage.

Architecture / Fonctionnement

Empreinte : Identifie la version de WordPress via les balises generator, readme.html ou les paramètres de scripts mis en file d'attente.
Validation du point de terminaison : Confirme que wp-login.php est accessible et fonctionnel.
Vérification de la réflexion de la charge utile : Envoie une charge utile de nom d'utilisateur forgée à wp-login.php et vérifie si les éléments DOM requis (par exemple, ajaxurl, color-picker) survivent à la désinfection dans la réponse.
Vérification du callback JSONP : Teste la fonctionnalité JSONP de l'API REST pour vérifier si l'évaluation JavaScript est possible, complétant ainsi la chaîne.
Génération de rapport : Compile les résultats en artefacts reproductibles.

Prérequis

Python 3.x
Systèmes d'exploitation pris en charge : Linux, macOS, Windows
Dépendances : requests>=2.31.0, urllib3

Installation

Clonez le dépôt et installez les dépendances requises :

git clone https://github.com/eh-amish/xss2shell-poc.git
cd xss2shell-poc
pip install -r requirements.txt

Configuration

Cet outil ne nécessite aucune variable d'environnement ni fichier de configuration complexe. Tous les paramètres sont transmis directement via des arguments en ligne de commande.

Utilisation

Exécutez l'outil avec Python 3 contre une cible autorisée.

Vérification basique de vulnérabilité (sans génération de PoC)

python3 xss2shell_poc.py -t https://target.com --check-only

Validation complète et génération de PoC

python3 xss2shell_poc.py -t https://target.com

Variantes avancées

Si la charge utile standard est bloquée par un WAF ou si le point de terminaison REST renvoie HTTP 401, essayez des variantes alternatives :

python3 xss2shell_poc.py -t https://target.com --variant waf
python3 xss2shell_poc.py -t https://target.com --variant envelope

Nom de fichier PoC personnalisé

python3 xss2shell_poc.py -t https://target.com -o custom_poc.html

Structure du projet

.
├── .gitignore
├── CONTRIBUTING.md
├── LICENSE
├── README.md
├── SECURITY.md
├── requirements.txt
└── xss2shell_poc.py

Exemples

Exemple de sortie d'exécution

Target  : https://target.com
Variant : standard
Mode    : Full PoC

[>] Phase 1 — WordPress Version Fingerprint
[+] WordPress 7.0.2 — VULNERABLE (6.4 – 7.0.2)

[>] Phase 2 — Confirm Login Page
[+] wp-login.php reachable (HTTP 200)

[>] Phase 3 — Testing XSS Payload (variant: standard)
[+] XSS PAYLOAD SURVIVED SANITIZATION!
[+] Injected DOM elements found in response: ['id="ajaxurl"', 'id="color-picker"']

[>] Phase 4 — REST API JSONP Callback Check
[+] REST JSONP callback works: https://target.com/?rest_route=/&_method=GET&_jsonp=testcb
[+] jQuery will evaluate response as script → XSS fires automatically

Sécurité

Ce dépôt contient des outils de test liés à la sécurité. Veuillez consulter SECURITY.md pour notre politique de divulgation responsable et nos exigences d'utilisation autorisée.

Limitations

L'empreinte de version peut échouer si la cible a mis en place des mesures robustes de « sécurité par l'obscurité » pour masquer sa version de WordPress.
Les WAF peuvent bloquer la vérification de réflexion de charge utile même si le logiciel sous-jacent est vulnérable.

Contribution

Nous accueillons les contributions professionnelles ! Veuillez consulter CONTRIBUTING.md pour plus de détails sur notre flux de travail, nos normes de qualité de code et nos directives de soumission.

Licence

Ce projet est sous licence MIT License.

Crédits / Attribution

La logique de vulnérabilité est basée sur des avis de sécurité publics concernant CVE-2026-64638.
La structure du script PoC et les charges utiles ont été organisées par les contributeurs du projet à des fins de test.

Avertissement

Destiné à un usage autorisé uniquement. Ce projet est fourni strictement pour des tests d'intrusion autorisés, de la recherche en sécurité et des programmes de bug bounty pour lesquels une autorisation écrite explicite a été accordée par le propriétaire du système. N'utilisez pas cet outil contre des systèmes que vous ne possédez pas ou pour lesquels vous n'avez pas l'autorisation de tester. Les auteurs et contributeurs ne sont pas responsables de tout usage abusif, dommage ou conséquence juridique résultant de l'utilisation de ce logiciel.

CVE-2026-64638-XSS-to-Shell-PoC

Populaires