🌀 CVE‑2026‑64638 – Suite de sécurité WordPress XSS2Shell

⚠️ UTILISATION ÉTHIQUE UNIQUEMENT – TESTS DE SÉCURITÉ AUTORISÉS
Ce dépôt fournit des outils destinés uniquement aux professionnels de la sécurité autorisés, aux blue teams et aux testeurs d'intrusion.
L'accès non autorisé à des systèmes informatiques est illégal en vertu du CFAA (États-Unis), du Computer Misuse Act (Royaume-Uni), du TCK 243/244 (Turquie) et des lois similaires dans le monde entier.

📖 Aperçu de la vulnérabilité

CVE‑2026‑64638 est une vulnérabilité critique de type XSS réfléchie pré‑authentification dans le cœur de WordPress, versions 4.7.0 à 7.0.2, qui permet à un attaquant d'élever une attaque XSS en exécution de code à distance (RCE) complète via la fonctionnalité Application Password (mot de passe d'application).

Comment cela fonctionne

1. Différentiel d'analyse syntaxique – la fonction strip_tags() de PHP et wp_kses_post() de WordPress analysent les balises HTML différemment, ce qui permet à une entrée malveillante de contourner l'assainissement.
2. XSS réfléchie – un attaquant injecte une charge utile spécialement conçue dans le formulaire de connexion (wp-login.php). En cas d'échec de connexion, la charge utile est réfléchie et exécutée dans le navigateur de la victime.
3. Abus de l'Application Password – le JavaScript injecté génère automatiquement un mot de passe d'application via l'API REST de WordPress et l'exfiltre vers l'attaquant.
4. Téléversement de plugin (RCE) – à l'aide du mot de passe d'application capturé, l'attaquant s'authentifie sur le panneau d'administration et téléverse un plugin malveillant contenant une webshell.
5. Compromission totale du système – la webshell permet l'exécution de commandes système, autorisant des shells inversés, la persistance, les déplacements latéraux et la prise de contrôle complète du serveur.

Versions concernées

• WordPress 4.7.0 – 7.0.2 – vulnérable
• WordPress 7.0.3 et versions ultérieures – corrigé
• Les mises à jour de sécurité ont été rétroportées vers toutes les branches maintenues

Correctif

• Mettez à niveau vers WordPress 7.0.3 ou une version plus récente.
• Si la mise à niveau n'est pas possible, désactivez la fonctionnalité Application Password comme mesure de contournement temporaire.

🧰 Outils

📊 Comparaison des fonctionnalités

🎯 Résumé des cas d'utilisation

⚙️ Installation

git clone https://github.com/tc4dy/CVE-2026-64638-PoC-Exploit
cd CVE-2026-64638-PoC-Exploit
pip install -r requirements.txt

requirements.txt

requests
urllib3
#ops
pymysql
mysql-connector-python
PySocks
requests[socks]

📋 Paramètres

Paramètres de exploit.py

Paramètres de safecheck.py

💥 Scénarios

📊 Commandes du shell interactif

🧪 Utilisation des points d'accès et de l'API

🛡️ Utilisation responsable

• N'utilisez ces outils que sur des systèmes dont vous êtes propriétaire ou pour lesquels vous disposez d'une autorisation écrite explicite de test.
• L'accès non autorisé est illégal et contraire à l'éthique.
• Les auteurs ne sont pas responsables de toute utilisation abusive.
• Respectez toujours les lois et règlements de votre pays.

Ce logiciel est fourni uniquement à des fins éducatives et pour des tests de sécurité autorisés.

Conformité légale