CVE-2026-8206 - Kirki WordPress प्लगइन मास एक्सप्लॉइट

CVE-2026-8206 के लिए मास एक्सप्लॉइटेशन टूल – Kirki WordPress प्लगइन (संस्करण ≤ 6.0.6) में एक गंभीर कमजोरी जो अप्रमाणित हमलावरों को पासवर्ड रीसेट लिंक को हाईजैक करने और किसी भी उपयोगकर्ता खाते, जिसमें प्रशासक भी शामिल हैं, पर पूर्ण नियंत्रण प्राप्त करने की अनुमति देती है।

कमजोरी का अवलोकन

Kirki प्लगइन एक अप्रमाणित REST एंडपॉइंट (/wp-json/KirkiComponentLibrary/v1/kirki-forgot-password) को उजागर करता है। अनुमति जाँच और अनुचित ईमेल सत्यापन की कमी के कारण, एक हमलावर:

• किसी भी मान्य उपयोगकर्ता नाम के लिए पासवर्ड रीसेट का अनुरोध कर सकता है
• रीसेट लिंक प्राप्त करने के लिए एक मनमाना ईमेल पता (जैसे, अपना स्वयं का) प्रदान कर सकता है
• लक्ष्य खाते पर पूर्ण नियंत्रण प्राप्त कर सकता है

प्रभावित संस्करण: ≤ 6.0.6
स्थिर संस्करण: 6.0.7

विशेषताएँ

• मल्टी-थ्रेडेड – सैकड़ों लक्ष्यों को तेजी से स्कैन करें
• स्वचालित प्लगइन पहचान – readme.txt और kirki.min.css की जाँच करता है (kirki और kirki-test दोनों फ़ोल्डरों का समर्थन करता है)
• स्मार्ट नॉन्स निष्कर्षण – 10+ रेगेक्स पैटर्न का उपयोग करके 12+ सामान्य पथों (रूट, लॉगिन, लॉस्टपासवर्ड, आदि) से नॉन्स ढूँढता है
• उपयोगकर्ता नाम गणना – /wp-json/wp/v2/users से वास्तविक उपयोगकर्ता नाम प्राप्त करता है (admin पर वापस गिरता है)

आवश्यकताएँ

• Python 2.7
• requests लाइब्रेरी
• concurrent.futures (बैकपोर्ट, आमतौर पर स्थापित)

निर्भरताएँ स्थापित करें:

pip install requests futures

स्थापना

git clone https://github.com/Jenderal92/CVE-2026-8206.git
cd CVE-2026-8206

अपना हमलावर ईमेल सेट करने के लिए स्क्रिप्ट को संपादित करें:

ATTACKER_EMAIL = "[email protected]"   # पंक्ति ~15

उपयोग

python CVE-2026-8206.py <targets_file> [threads]

• <targets_file> – एक टेक्स्ट फ़ाइल जिसमें प्रति पंक्ति एक डोमेन हो (http:///https:// के साथ या बिना)
• [threads] – वैकल्पिक, समवर्ती थ्रेड की संख्या (डिफ़ॉल्ट: 15)

उदाहरण

python CVE-2026-8206.py targets.txt 20

इनपुट फ़ाइल उदाहरण (targets.txt)

example.com
https://vulnerable-site.com
http://127.0.0.1/wordpress

आउटपुट

• res.txt – सफलतापूर्वक शोषित लक्ष्यों को इस प्रारूप में शामिल करता है:

  root@kitploit:~

  URL|username|attacker_email|reset_link_sent_to_attacker_email
  

  उदाहरण:

  root@kitploit:~

  https://example.com|admin|[email protected]|reset_link_sent_to_attacker_email
  

• कंसोल आउटपुट रीयल-टाइम प्रगति दिखाता है:

  • पाई गई Kirki संस्करण
  • उपयोग किया गया उपयोगकर्ता नाम
  • मिले नॉन्स (स्रोत URL द्वारा समूहित)
  • प्रत्येक नॉन्स के लिए परीक्षण स्थिति (VALID / FAILED)

यह कैसे काम करता है

1. प्लगइन पहचान – /wp-content/plugins/{kirki,kirki-test}/readme.txt (Stable tag) और /.../kirki.min.css (ver पैरामीटर) का अनुरोध करता है। यदि संस्करण ≤ 6.0.6 है, तो आगे बढ़ें।
2. उपयोगकर्ता नाम निष्कर्षण – /wp-json/wp/v2/users का प्रयास करता है, यदि खाली है तो admin पर वापस गिरता है।
3. नॉन्स संग्रह – 12+ URL (रूट, लॉगिन, फॉरगॉट-पासवर्ड पेज, आदि) पर जाता है और कई रेगेक्स पैटर्न का उपयोग करके नॉन्स जैसे स्ट्रिंग्स (8+ हेक्स वर्ण) निकालता है।
4. एक्सप्लॉइट प्रयास – प्रत्येक नॉन्स के लिए, कमजोर एंडपॉइंट पर POST अनुरोध भेजता है:
   • username = लक्ष्य उपयोगकर्ता नाम
   • email = हमलावर का ईमेल
   • emailBody = JSON जिसमें reset_link चिप शामिल है
5. सफलता – यदि सर्वर 200 और "Email sent" के साथ प्रतिक्रिया देता है, तो लक्ष्य res.txt में लिखा जाता है।

महत्वपूर्ण नोट्स

• रीसेट लिंक हमलावर के ईमेल पर भेजा जाता है; आपके पास उस इनबॉक्स तक पहुँच होनी चाहिए।
• केवल मान्य (शोषणीय) लक्ष्य सहेजे जाते हैं – कोई गलत सकारात्मक नहीं।
• जिम्मेदारी से उपयोग करें और केवल उन सिस्टमों पर जिनके आप मालिक हैं या जिनके परीक्षण की स्पष्ट अनुमति है।

अस्वीकरण

यह सॉफ्टवेयर केवल शैक्षिक और अधिकृत सुरक्षा परीक्षण उद्देश्यों के लिए प्रदान किया गया है। उन सिस्टमों के विरुद्ध अनधिकृत उपयोग जिनके आप मालिक नहीं हैं या जिनके परीक्षण की अनुमति नहीं है, अवैध है। लेखक इस उपकरण के किसी भी दुरुपयोग या क्षति के लिए जिम्मेदार नहीं है।

अधिक अस्वीकरण आप Jenderal92 के कवर पर अस्वीकरण देख सकते हैं। आप इसे यहाँ !!! जाँच सकते हैं

संदर्भ

• CVE-2026-8206 (जब प्रकाशित हो)
• Kirki प्लगइन चेंजलॉग