🌀 CVE‑2026‑64638 – Suite de sécurité WordPress XSS2Shell

⚠️ UTILISATION ÉTHIQUE UNIQUEMENT – TESTS DE SÉCURITÉ AUTORISÉS
Ce dépôt fournit des outils destinés uniquement aux professionnels de la sécurité autorisés, aux blue teams et aux testeurs d'intrusion.
L'accès non autorisé à des systèmes informatiques est illégal en vertu du CFAA (États-Unis), du Computer Misuse Act (Royaume-Uni), du TCK 243/244 (Turquie) et des lois similaires dans le monde entier.

---

📖 Aperçu de la vulnérabilité

CVE‑2026‑64638 est une vulnérabilité critique de type XSS réfléchie pré‑authentification dans le cœur de WordPress, versions 4.7.0 à 7.0.2, qui permet à un attaquant d'élever une attaque XSS en exécution de code à distance (RCE) complète via la fonctionnalité Application Password (mot de passe d'application).

Comment cela fonctionne

1. Différentiel d'analyse syntaxique – la fonction strip_tags() de PHP et wp_kses_post() de WordPress analysent les balises HTML différemment, ce qui permet à une entrée malveillante de contourner l'assainissement.
2. XSS réfléchie – un attaquant injecte une charge utile spécialement conçue dans le formulaire de connexion (wp-login.php). En cas d'échec de connexion, la charge utile est réfléchie et exécutée dans le navigateur de la victime.
3. Abus de l'Application Password – le JavaScript injecté génère automatiquement un mot de passe d'application via l'API REST de WordPress et l'exfiltre vers l'attaquant.
4. Téléversement de plugin (RCE) – à l'aide du mot de passe d'application capturé, l'attaquant s'authentifie sur le panneau d'administration et téléverse un plugin malveillant contenant une webshell.
5. Compromission totale du système – la webshell permet l'exécution de commandes système, autorisant des shells inversés, la persistance, les déplacements latéraux et la prise de contrôle complète du serveur.

Versions concernées

• WordPress 4.7.0 – 7.0.2 – vulnérable
• WordPress 7.0.3 et versions ultérieures – corrigé
• Les mises à jour de sécurité ont été rétroportées vers toutes les branches maintenues

Correctif

• Mettez à niveau vers WordPress 7.0.3 ou une version plus récente.
• Si la mise à niveau n'est pas possible, désactivez la fonctionnalité Application Password comme mesure de contournement temporaire.

---

🧰 Outils

Outil	Objectif	Utilisateur visé
exploit.py	Boîte à outils d'exploitation complète avec shell inversé, persistance, C2, élévation de privilèges, forensic mémoire, dump de base de données, extraction de clés SSH et scan de masse.	Red teams / pentesters autorisés
safecheck.py	Vérificateur de vulnérabilité non intrusif qui détecte la réflexion XSS et évalue la posture de sécurité sans exécuter de charge utile malveillante. Génère des rapports détaillés.	Blue teams / auditeurs de sécurité

---

📊 Comparaison des fonctionnalités

Fonctionnalité	exploit.py	safecheck.py
Détection de vulnérabilité	✅	✅
Détection de version WordPress	✅	✅
Détection de réflexion XSS	✅	✅
Capture d'Application Password	✅	❌
Téléversement de plugin (RCE)	✅	❌
Shell inversé	✅	❌
Balise C2 (HTTP/DNS/Telegram)	✅	❌
Élévation de privilèges	✅	❌
Forensic mémoire	✅	❌
Dump de base de données	✅	❌
Extraction de clés SSH	✅	❌
Méthodes de persistance	✅	❌
Audit des en-têtes de sécurité	❌	✅
Vérification d'exposition des fichiers de configuration	❌	✅
Vérification du listage des répertoires	❌	✅
Vérification d'exposition de phpinfo	❌	✅
Scan de masse	✅	✅
Prise en charge des proxys	✅	✅
Prise en charge de Tor	✅	✅
Tunnel Ngrok	✅	❌
Shell interactif	✅	❌
Mode non intrusif (sûr)	❌	✅
Sortie JSON / rapport	✅	✅

---

🎯 Résumé des cas d'utilisation

Scénario	Outil recommandé
Blue Team – vérifier si votre installation WordPress est vulnérable	safecheck.py
Audit de sécurité – évaluation de vulnérabilité non intrusive	safecheck.py
Red Team – tests d'intrusion autorisés avec exploitation complète	exploit.py
Bug Bounty – tests de divulgation responsable	safecheck.py
Scan de masse – vérification de plusieurs cibles pour une vulnérabilité	exploit.py ou safecheck.py
Réponse aux incidents – vérifier si des systèmes sont compromis	safecheck.py
Post‑exploitation avancée – persistance, C2, forensique	exploit.py

---

⚙️ Installation

git clone https://github.com/tc4dy/CVE-2026-64638-PoC-Exploit
cd CVE-2026-64638-PoC-Exploit
pip install -r requirements.txt

requirements.txt

requests
urllib3
#ops
pymysql
mysql-connector-python
PySocks
requests[socks]

📋 Paramètres

Paramètres de exploit.py

Paramètre	Description
-t, --target	URL WordPress cible (par ex. https://wordpress-site.com)
-l, --list	Fichier contenant une liste de cibles (une par ligne) pour le scan de masse
--lhost	Adresse IP locale pour les rappels de shell inversé
--lport	Port local pour le shell inversé (défaut : 4444)
--proxy	Proxy HTTP/HTTPS (par ex. http://127.0.0.1:8080)
--timeout	Délai d'expiration des requêtes en secondes (défaut : 10)
--retry	Nombre de nouvelles tentatives (défaut : 3)
--threads	Nombre de threads pour le scan de masse (défaut : 5)
--exploit	Exploiter automatiquement les cibles vulnérables pendant le scan de masse
--ngrok-token	Jeton d'authentification Ngrok pour le tunneling externe
--payload-type	Type de charge utile XSS : reflected, dom_based, waf_bypass, case_manipulation, double_encoded
--session-hijack	Activer le détournement de session (vol des cookies administrateur)
--dump-db	Dumper la base de données WordPress (nécessite pymysql)
--extract-ssh	Extraire les clés SSH du système cible
--tor	Acheminer le trafic via Tor (socks5h://127.0.0.1:9050)
--stealth	Activer le mode furtif (en-têtes falsifiés, requêtes retardées)
--no-cleanup	Ignorer le nettoyage des journaux après l'exploitation
--ssl-verify	Vérifier les certificats SSL
--c2-type	Type de C2 : http, dns, telegram
--c2-server	URL du serveur C2 ou jeton de bot Telegram
--auto-priv-esc	Élévation de privilèges automatique après le shell
--memory-forensics	Activer le module de forensic mémoire
-v, --verbose	Sortie détaillée
-q, --quiet	Mode silencieux (sortie minimale)

Paramètres de safecheck.py