CVE-2026-64638 — Preuve de concept XSS2Shell

Un outil de preuve de concept (PoC) permettant de valider CVE-2026-64638, une vulnérabilité de Cross-Site Scripting (XSS) réfléchi pré-authentification affectant les installations WordPress (versions 6.4 – 7.0.2).

Aperçu

Cet outil automatise le processus d'identification, de validation et de génération d'un PoC pour CVE-2026-64638. Il confirme en toute sécurité si une installation WordPress cible est vulnérable au XSS réfléchi pré-authentification sans déployer de charges utiles malveillantes. Si la cible est confirmée vulnérable, il peut générer un PoC HTML pour des tests de sécurité autorisés et pour son inclusion dans les rapports de bug bounty.

Fonctionnalités

Identification de version : Détecte avec précision la version WordPress cible à l'aide de multiples heuristiques.
Validation sûre : Teste la réflexion des charges utiles et les points de terminaison JSONP de l'API REST pour confirmer l'exploitabilité en toute sécurité.
Génération d'artefacts : Génère automatiquement des fichiers PoC HTML, des commandes de reproduction curl et des extraits de rapport.
Variantes de charges utiles : Prend en charge plusieurs variantes de contournement (standard, envelope, waf) pour tester différents scénarios de filtrage.

Architecture / Fonctionnement

Identification : Identifie la version de WordPress via les balises de générateur, readme.html ou les paramètres des scripts mis en file d'attente.
Validation du point de terminaison : Confirme que wp-login.php est accessible et fonctionnel.
Vérification de la réflexion de la charge utile : Envoie une charge utile de nom d'utilisateur élaborée à wp-login.php et vérifie si les éléments DOM requis (par ex. ajaxurl, color-picker) survivent à l'assainissement dans la réponse.
Vérification du rappel JSONP : Teste la fonctionnalité JSONP de l'API REST pour vérifier si l'évaluation JavaScript est possible, complétant ainsi la chaîne.
Génération du rapport : Compile les résultats en artefacts reproductibles.

Prérequis

Python 3.x
Systèmes d'exploitation pris en charge : Linux, macOS, Windows
Dépendances : requests>=2.31.0, urllib3

Installation

Clonez le dépôt et installez les dépendances requises :

git clone https://github.com/your-username/xss2shell-poc.git
cd xss2shell-poc
pip install -r requirements.txt

Configuration

Cet outil ne nécessite aucune variable d'environnement ni fichier de configuration complexe. Tous les paramètres sont transmis directement via les arguments de la ligne de commande.

Utilisation

Exécutez l'outil avec Python 3 sur une cible autorisée.

Vérification de vulnérabilité de base (sans génération de PoC)

python3 xss2shell_poc.py -t https://target.com --check-only

Validation complète et génération de PoC

python3 xss2shell_poc.py -t https://target.com

Variantes avancées

Si la charge utile standard est bloquée par un WAF ou si le point de terminaison REST renvoie une erreur HTTP 401, essayez des variantes alternatives :

python3 xss2shell_poc.py -t https://target.com --variant waf
python3 xss2shell_poc.py -t https://target.com --variant envelope

Nom de fichier PoC personnalisé

python3 xss2shell_poc.py -t https://target.com -o custom_poc.html

Structure du projet

.
├── .gitignore
├── CONTRIBUTING.md
├── LICENSE
├── README.md
├── SECURITY.md
├── requirements.txt
└── xss2shell_poc.py

Exemples

Exemple de sortie d'exécution

Target  : https://target.com
Variant : standard
Mode    : Full PoC

[>] Phase 1 — WordPress Version Fingerprint
[+] WordPress 7.0.2 — VULNERABLE (6.4 – 7.0.2)

[>] Phase 2 — Confirm Login Page
[+] wp-login.php reachable (HTTP 200)

[>] Phase 3 — Testing XSS Payload (variant: standard)
[+] XSS PAYLOAD SURVIVED SANITIZATION!
[+] Injected DOM elements found in response: ['id="ajaxurl"', 'id="color-picker"']

[>] Phase 4 — REST API JSONP Callback Check
[+] REST JSONP callback works: https://target.com/?rest_route=/&_method=GET&_jsonp=testcb
[+] jQuery will evaluate response as script → XSS fires automatically

Sécurité

Ce dépôt contient des outils de test liés à la sécurité. Veuillez consulter SECURITY.md pour notre politique de divulgation responsable et les exigences d'utilisation autorisée.

Limitations

L'identification de version peut échouer si la cible a mis en œuvre des mesures robustes de « sécurité par l'obscurité » pour masquer sa version WordPress.
Les WAF peuvent bloquer la vérification de la réflexion de la charge utile même si le logiciel sous-jacent est vulnérable.

Contribution

Nous accueillons volontiers les contributions professionnelles ! Veuillez consulter CONTRIBUTING.md pour plus de détails sur notre flux de travail, nos normes de qualité du code et nos directives de soumission.

Licence

Ce projet est distribué sous la licence MIT.

Crédits / Attribution

La logique de vulnérabilité est basée sur les avis de sécurité publiquement disponibles concernant CVE-2026-64638.
La structure du script PoC et les charges utiles ont été sélectionnées par les contributeurs du projet à des fins de test.

Avertissement

Réservé à une utilisation autorisée uniquement. Ce projet est fourni strictement pour les tests d'intrusion autorisés, la recherche en sécurité et les programmes de bug bounty pour lesquels une autorisation écrite explicite a été accordée par le propriétaire du système. N'utilisez pas cet outil contre des systèmes dont vous n'êtes pas propriétaire ou pour lesquels vous n'avez pas l'autorisation de tester. Les auteurs et les contributeurs ne sont pas responsables de toute mauvaise utilisation, de tout dommage ou de toute conséquence juridique résultant de l'utilisation de ce logiciel.

CVE-2026-64638-XSS-to-Shell-PoC

Populaires