CVE-2026-17532 लैब - Seraphinite Accelerator: बिना प्रमाणीकरण XSS → 1-क्लिक RCE

CVE-2026-17532 के लिए एक Docker लैब, जो WordPress प्लगइन Seraphinite Accelerator में एक बिना प्रमाणीकरण वाला रिफ्लेक्टेड XSS है, जो लॉग-इन किए गए एडमिनिस्ट्रेटर द्वारा एक क्राफ्टेड लिंक खोलते ही रिमोट कोड एक्ज़ीक्यूशन में बदल जाता है।

पूरा लेख: BLOG

आवश्यकताएँ

• Compose प्लगइन के साथ Docker
• होस्ट पर python3 या php (केवल एक्सप्लॉइट URL बनाने के लिए - exploit.sh जो भी मौजूद हो उसका उपयोग करता है)

चलाएँ

docker compose down -v # पुराना डेटा साफ़ करें
docker compose up -d
docker compose logs -f wpcli

LAB READY आने तक प्रतीक्षा करें, फिर Ctrl-C दबाएँ। WordPress अब http://127.0.0.1:8080 पर है, जिसमें कमज़ोर प्लगइन सक्रिय है और पेज कैशिंग सक्षम है।

wpcli कंटेनर एक वन-शॉट इंस्टॉलर है; यह सेटअप के बाद बाहर निकल जाता है। यह सामान्य है।

एक्सप्लॉइट

1. http://127.0.0.1:8080/wp-admin पर एडमिन के रूप में लॉग इन करें

   • उपयोगकर्ता: admin
   • पासवर्ड: admin-lab-pw

2. क्राफ्टेड URL बनाएँ और उसे उसी ब्राउज़र में खोलें:

./exploit.sh # या: ./exploit.sh http://127.0.0.1:8080

पेज लगभग 5 सेकंड के लिए रुक जाता है - यह प्लगइन के selfTest ब्रांच में एक शाब्दिक sleep( 5 ) है, टूटी हुई लैब नहीं। फिर XSS चलता है, आपके एडमिन सत्र का उपयोग करके वेब शेल लिखता है, और शेल URL को ब्राउज़र कंसोल में लॉग करता है।

3. वेब शेल का उपयोग करें:

http://127.0.0.1:8080/wp-content/plugins/hello.php?c=id

या इंटरैक्टिव इनपुट बॉक्स के लिए इसे ?c= के बिना खोलें।

पेलोड कैसे काम करता है

xss.js एडमिन के सत्र और समान ओरिजिन में चलता है, इसलिए यह:

1. wp-admin/plugin-editor.php का GET कर सकता है और HTML से वन-टाइम एडिटर नॉन्स को निकाल सकता है।
2. admin-ajax.php पर action=edit-theme-plugin-file के साथ POST कर सकता है, जिससे hello.php में एक PHP वेब शेल लिखा जाता है।
3. शेल URL को कंसोल में लॉग कर सकता है।

hello.php क्यों? क्योंकि यह निष्क्रिय है। जब आप किसी सक्रिय प्लगइन को संपादित करते हैं और परिवर्तन साइट को फेटल कर देगा, तो WordPress त्रुटि का पता लगाता है और फ़ाइल को वापस कर देता है। निष्क्रिय प्लगइन्स उस जाँच को छोड़ देते हैं, इसलिए शेल लिखा जाता है और लिखा ही रहता है। कोई भी लिखने योग्य निष्क्रिय प्लगइन फ़ाइल काम करती है; hello.php डिफ़ॉल्ट रूप से WordPress के साथ आता है।

पूरी स्क्रिप्ट क्राफ्टेड URL में इनलाइन की गई है, इसलिए किसी अटैकर सर्वर की आवश्यकता नहीं है।

रोकें

docker compose down -v