CVE-2026-8732 - WordPress WP Google Map Pro : scanner de masse et créateur automatique d'admin

📌 Description

Cet outil exploite la vulnérabilité CVE-2026-8732 dans le plugin WP Google Map Pro pour WordPress. Cette vulnérabilité permet à un attaquant non authentifié d'obtenir un wpmp_token valide via un point de terminaison AJAX (admin-ajax.php?action=wpgmp_temp_access_ajax). En utilisant ce jeton, un attaquant peut accéder au panneau d'administration de WordPress et créer un nouvel utilisateur administrateur.

L'outil effectue un scan de masse à partir d'une liste de domaines, extrait le nonce et le jeton, puis crée automatiquement un compte administrateur caché sur les sites vulnérables. Les résultats sont enregistrés en temps réel avec tous les détails du jeton.

🔍 Détails de la CVE

✨ Fonctionnalités

• Scan multi-threadé (nombre de threads réglable)
• Extraction automatique du nonce depuis la page d'accueil cible
• Extraction du jeton depuis la réponse JSON
• Enregistrement en temps réel des domaines vulnérables + jeton complet
• Création automatique du compte administrateur (indépendant de la langue)
• Enregistre les identifiants administrateur créés dans admin_created.txt
• Prend en charge http:// et https://
• Nom d'utilisateur, mot de passe et e-mail administrateur configurables

📦 Prérequis

• Python 2.7
• Bibliothèque requests

Installez la bibliothèque requise :

pip install requests

🚀 Installation

git clone https://github.com/CVE-2026-8732-POC/CVE-2026-8732.git
cd CVE-2026-8732

🎯 Utilisation

Préparez un fichier de liste de cibles (un domaine par ligne) :

example.com
https://target-website.com
http://vulnerable-site.org

Lancez le scanner :

python2 exploit.py targets.txt

Fichiers de sortie

Fichier Contenu res.txt Domaines vulnérables avec jeton complet et URL de redirection (le cas échéant) admin_created.txt Identifiants administrateur créés avec succès (domaine, nom d'utilisateur, mot de passe, e-mail)

Exemple de sortie

[*] Checking: https://example.com
[VULNERABLE] https://example.com -> Token found
[*] https://example.com -> Accessing redirect URL...
[+] https://example.com -> Admin created: securityaudit_1734567890 / StrongP@ssw0rd123!

⚙️ Configuration

Modifiez les variables suivantes dans le script :

TIMEOUT = 10               # Request timeout in seconds
JUMLAH_THREAD = 10         # Number of concurrent threads
OUTPUT_FILE = "res.txt"    # File for vulnerable results
ADMIN_FILE = "admin_created.txt"

BASE_USERNAME = "securityaudit"
NEW_PASSWORD = "StrongP@ssw0rd123!"
NEW_EMAIL = "[email protected]"

🧠 Comment ça fonctionne

1. Extraction du nonce Envoie une requête GET à la cible et extrait wpgmp_local ou fc-call-nonce du HTML.
2. Exploitation du jeton Envoie une requête POST à /wp-admin/admin-ajax.php avec action=wpgmp_temp_access_ajax et le nonce obtenu.
3. Session administrateur Suit l'URL de redirection (si fournie) pour obtenir des cookies de session authentifiés.
4. Création de l'administrateur Accède à /wp-admin/user-new.php, extrait _wpnonce_create-user et envoie une requête POST pour créer un nouvel utilisateur administrateur.
5. Vérification Vérifie la redirection HTTP 302 vers users.php ou recherche le nouveau nom d'utilisateur dans la liste des utilisateurs pour confirmer le succès.

🛡️ Atténuation

· Mettez à jour WP Google Map Pro vers la dernière version corrigée. · Désactivez l'action AJAX wpgmp_temp_access_ajax via un code personnalisé ou un pare-feu. · Utilisez un pare-feu applicatif (WAF) pour bloquer les requêtes malveillantes vers admin-ajax.php.