CVE-2026-8832 का शोषण

वर्डप्रेस प्लगइन WPCode Lite (Insert Headers and Footers) v2.3.5 में Remote Code Execution (RCE) कमजोरियों का परीक्षण करने के लिए एक शोषण उपकरण। यह कमजोरी कस्टम पोस्ट प्रकार (CPT) wpcode को बिना कस्टम capability_type परिभाषित किए पंजीकृत करने से उत्पन्न होती है। यह चूक किसी भी Author भूमिका (या उच्चतर) वाले उपयोगकर्ता को XML-RPC के माध्यम से सर्वर पर मनमाना PHP कोड निष्पादित करने की अनुमति देती है।

क्रेडिट: t.me/Fanatix_Legion द्वारा कमजोरी विश्लेषण के आधार पर बनाया गया।

⚠️ अस्वीकरण

केवल अधिकृत सुरक्षा परीक्षण के लिए। इस उपकरण का उन प्रणालियों के विरुद्ध अनधिकृत उपयोग जिनके आप मालिक नहीं हैं, अवैध है। इसका उपयोग केवल उन प्रणालियों पर करें जहाँ आपके पास पैठ परीक्षण करने की स्पष्ट, लिखित अनुमति हो। लेखक किसी भी दायित्व को नहीं मानता और इस कार्यक्रम के किसी भी दुरुपयोग या क्षति के लिए जिम्मेदार नहीं है।

🚀 विशेषताएँ

• स्वचालित शोषण: फ़िंगरप्रिंटिंग से लेकर कोड निष्पादन तक पूरी शोषण श्रृंखला को 6 स्वचालित चरणों में निष्पादित करता है।
• XML-RPC बाइपास: XML-RPC के माध्यम से wp.newPost एंडपॉइंट का लाभ उठाकर प्लगइन UI प्रशासनिक सुरक्षाओं को बायपास करता है।
• शुद्ध PHP पेलोड: सभी अंतर्निहित पेलोड शुद्ध PHP मूल फ़ंक्शन का उपयोग करके डिज़ाइन किए गए हैं। यह विशेष रूप से साझा होस्टिंग वातावरण (जैसे CloudLinux) में आम disable_functions प्रतिबंधों को बायपास करने के लिए तैयार किया गया है, जो shell_exec और system जैसे फ़ंक्शन को ब्लॉक करते हैं।
• वेब-आधारित इंटरैक्टिव शेल: ब्राउज़र से PHP कमांड को आसानी से नेविगेट और निष्पादित करने के लिए एक वेब-GUI पेलोड विकल्प शामिल है।
• स्वचालित सफाई: निष्पादन के बाद परीक्षण स्निपेट और ट्रिगर पोस्ट को हटाकर डेटाबेस को सुरक्षित रूप से साफ करता है।

📦 आवश्यकताएँ

• Python 3.6+
• requests लाइब्रेरी

pip install requests

🛠️ उपयोग

स्क्रिप्ट को अपने टर्मिनल/कमांड प्रॉम्प्ट से चलाएँ:

python wpcode_rce_tester.py

यह उपकरण आपसे इंटरैक्टिव रूप से निम्नलिखित के लिए पूछेगा:

1. WordPress URL: लक्ष्य URL (जैसे, http://localhost)।
2. उपयोगकर्ता नाम: कम से कम Author विशेषाधिकार वाला उपयोगकर्ता खाता उपयोगकर्ता नाम।
3. पासवर्ड: खाते का पासवर्ड।
4. पेलोड: वह पेलोड विकल्प जिसे आप निष्पादित करना चाहते हैं (1-8 चुनें)।

उपलब्ध पेलोड

1. सिस्टम जानकारी: वर्तमान उपयोगकर्ता (get_current_user) और OS जानकारी (php_uname) प्रदर्शित करता है।
2. GET के माध्यम से इंटरैक्टिव PHP शेल: कंसोल इनपुट को PHP कोड के रूप में चलाता है (?cmd= पैरामीटर के माध्यम से)।
3. PHP जानकारी: phpinfo() निष्पादित करता है।
4. WordPress कॉन्फ़िग रीडर: डेटाबेस क्रेडेंशियल जैसे आंतरिक WordPress स्थिरांक पढ़ता है।
5. फ़ाइल सूचीकरण: DOCUMENT_ROOT में फ़ाइलों और फ़ोल्डरों को मूल रूप से scandir() का उपयोग करके पुनरावर्ती रूप से सूचीबद्ध करता है।
6. वेब-आधारित इंटरैक्टिव PHP शेल: ब्राउज़र में इंटरैक्टिव रूप से PHP कोड टाइप और निष्पादित करने के लिए एक सरल HTML POST फ़ॉर्म बनाता है, जो OS-स्तरीय निष्पादन अवरुद्ध होने पर अत्यधिक प्रभावी है।
7. प्रूफ़ ऑफ़ कॉन्सेप्ट: संवेदनशील डेटा पढ़े या सिस्टम को नुकसान पहुँचाए बिना केवल "RCE VERIFIED" प्रतिध्वनित करता है।
8. कस्टम पेलोड: निष्पादन के लिए अपना स्वयं का कच्चा PHP कोड दर्ज करें।

🛡️ सुधार

अपनी WordPress साइट को सुरक्षित करने के लिए:

1. WPCode Lite प्लगइन को तुरंत नवीनतम संस्करण में अपडेट करें।
2. यदि अपडेट करना संभव नहीं है, तो XML-RPC को पूरी तरह से अक्षम करें यदि इसका उपयोग नहीं किया जा रहा है, इसे किसी प्लगइन या mu-plugins में जोड़कर:
   root@kitploit:~

   add_filter('xmlrpc_enabled', '__return_false');