CVE-2026-64638 — Nuclei डिटेक्शन टेम्पलेट

प्रोजेक्टडिस्कवरी का Nuclei टेम्पलेट XSS2Shell का गैर-आक्रामक पता लगाने के लिए है, जो WordPress कोर में एक प्री-ऑथेंटिकेटेड डिफरेंशियल पार्सर है, जो लॉगिन पृष्ठ में DOM तत्वों के इंजेक्शन की अनुमति देता है, और XSS → RCE श्रृंखला का आधार बनता है।

⚠️ यह टेम्पलेट केवल सैनिटाइज़ेशन दोष का पता लगाता है (HTML प्रतिक्रिया में मार्कर प्रतिबिंब का चरण)। यह शोषण की पूरी श्रृंखला (DOM क्लोबरिंग, JSONP/SOME, एप्लिकेशन पासवर्ड की चोरी या प्लगइन अपलोड) निष्पादित नहीं करता है। उपयोग केवल स्पष्ट प्राधिकरण वाले एसेट्स पर सख्ती से करें।

भेद्यता के बारे में

WordPress Core, wp-login.php में "अपंजीकृत उपयोगकर्ता" त्रुटि संदेश को रेंडर करते समय, प्रस्तुत उपयोगकर्ता-नाम को HTML में डालता है, बिना दो अलग-अलग फिल्टरों के बीच consistent escaping के:

• wp_strip_all_tags() (PHP के strip_tags() पर आधारित) किसी टैग को तभी पहचानता है जब < के बाद तुरंत एक अक्षर आता है — < के बाद एक स्पेस फ़िल्टर को सामग्री को सादे पाठ के रूप में मानने पर मजबूर करता है।
• wp_kses_post(), तुरंत बाद लागू किया जाता है, अपना स्वयं का टोकननाइज़र उपयोग करता है, जो उस स्पेस को सहन करता है और स्ट्रिंग को एक वास्तविक HTML तत्व के रूप में पुनर्निर्मित करता है (<area>, <div> और <button> allowlist में हैं)।

परिणाम यह है कि एक गैर-प्रमाणित हमलावर लॉगिन पृष्ठ में मनमाने DOM तत्व इंजेक्ट कर सकता है, जो — user-profile.js स्क्रिप्ट के विरासत हैंडलर, ajaxurl चर के DOM क्लोबरिंग, और REST API के JSONP के साथ संयुक्त होने पर — WordPress ओरिजिन पर जावास्क्रिप्ट निष्पादन की अनुमति देते हैं, और पूरी श्रृंखला में, किसी व्यवस्थापक के खाते के विरुद्ध RCE करते हैं।

pwn.ai द्वारा खोजा और प्रकट किया गया। WordPress 7.0.3 में सुधारा गया (4.7 शाखा तक backport किया गया)।

• CVE: CVE-2026-64638
• CVSS: 9.8 (गंभीर) — AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
• प्रभावित: 7.0.3 से पहले के सभी समर्थित WordPress Core संस्करण
• इसमें सुधार: WordPress 7.0.3 (6 अगस्त 2026)

टेम्पलेट क्या जाँचता है

टेम्पलेट log फ़ील्ड में निम्नलिखित पेलोड के साथ /wp-login.php पर एक POST अनुरोध भेजता है:

< area id=xss2shell-marker href=/x>< div id=xss2shell-div>

यदि WordPress भेद्य है, तो wp_kses_post() प्रतिक्रिया में इन स्ट्रिंग्स को वास्तविक HTML तत्वों के रूप में पुनर्निर्मित करता है। टेम्पलेट regex में दो मैचर्स (and स्थिति) का उपयोग करता है, ताकि पुष्टि की जा सके कि दोनों टैग पुनर्निर्मित रूप में दिखाई देते हैं — जिससे WAFs के कारण होने वाले झूठे पॉज़िटिव कम होते हैं जो इनपुट को आंशिक रूप से प्रतिबिंबित करते हैं।

उपयोग

# Validar sintaxe do template
nuclei -t CVE-2026-64638.yaml -validate

# Rodar contra um alvo único
nuclei -t CVE-2026-64638.yaml -u https://target.com

# Rodar contra uma lista de alvos
nuclei -t CVE-2026-64638.yaml -l targets.txt

# Debug (ver request/response completos)
nuclei -t CVE-2026-64638.yaml -u https://target.com -debug-req -debug-resp

परिणाम को समझना

परिणाम	अर्थ
सकारात्मक मैच	इंजेक्ट किए गए टैग वास्तविक HTML के रूप में प्रतिबिंबित हुए → डिफरेंशियल पार्सर उपस्थित → लक्ष्य भेद्य है (सुधारा नहीं गया)
कोई मैच नहीं	पेलोड को एस्केप या हटा दिया गया → लक्ष्य सुधारा गया (WordPress ≥ 7.0.3) या WAF/प्रॉक्सी द्वारा संरक्षित जो टैग के भीतर स्थानों को सामान्य करता है

उपचार

WordPress 7.0.3 या उससे नए संस्करण में अपडेट करें। पैच को 4.7 से शुरू होने वाली सभी समर्थित शाखाओं में backport किया गया है।

संदर्भ

• pwn.ai — XSS2Shell: WordPress Preauth XSS to RCE Chain (CVE-2026-64638)
• WordPress 7.0.3 Release Notes
• Bypassing CSP using WordPress by abusing Same Origin Method Execution (SOME का आधार शोध, Paulos Yibelo, 2022)

कानूनी अस्वीकरण

यह टेम्पलेट सुरक्षा अनुसंधान और अधिकृत पेनेट्रेशन परीक्षण के उद्देश्यों के लिए प्रदान किया गया है। स्पष्ट प्राधिकरण के बिना सिस्टम के विरुद्ध उपयोग गैरकानूनी है। दुरुपयोग के लिए लेखक उत्तरदायी नहीं है।

लेखक

Renzi