🌀 CVE‑2026‑64638 – वर्डप्रेस XSS2Shell सुरक्षा सूट

⚠️ केवल नैतिक उपयोग – अधिकृत सुरक्षा परीक्षण
यह रिपॉजिटरी केवल अधिकृत सुरक्षा पेशेवरों, ब्लू टीमों और पेनिट्रेशन टेस्टर्स के लिए उपकरण प्रदान करती है।
कंप्यूटर सिस्टम तक अनधिकृत पहुँच CFAA (अमेरिका), कंप्यूटर मिसयूज़ एक्ट (यूके), TCK 243/244 (तुर्की), और दुनिया भर के समान कानूनों के तहत अवैध है।

📖 भेद्यता अवलोकन

CVE‑2026‑64638 वर्डप्रेस कोर संस्करण 4.7.0 से 7.0.2 में एक गंभीर प्री-ऑथेंटिकेशन रिफ्लेक्टेड XSS भेद्यता है, जो किसी हमलावर को XSS हमले को पूर्ण रिमोट कोड निष्पादन (RCE) तक बढ़ाने की अनुमति देती है, जो एप्लिकेशन पासवर्ड सुविधा के माध्यम से होता है।

यह कैसे काम करता है

1. पार्सर विभेद (Parser Differential) – PHP का strip_tags() और WordPress का wp_kses_post() HTML टैग को अलग-अलग तरीके से पार्स करते हैं, जिससे दुर्भावनापूर्ण इनपुट सैनिटाइज़ेशन को पार कर सकता है।
2. रिफ्लेक्टेड XSS – एक हमलावर लॉगिन फ़ॉर्म (wp-login.php) में एक विशेष रूप से तैयार पेलोड इंजेक्ट करता है। असफल लॉगिन पर, पेलोड वापस परावर्तित होता है और पीड़ित के ब्राउज़र में निष्पादित होता है।
3. एप्लिकेशन पासवर्ड का दुरुपयोग – इंजेक्टेड JavaScript स्वचालित रूप से WordPress REST API के माध्यम से एक एप्लिकेशन पासवर्ड उत्पन्न करता है, जिसे हमलावर तक बाहर निकाला जाता है।
4. प्लगइन अपलोड (RCE) – कैप्चर किए गए एप्लिकेशन पासवर्ड का उपयोग करके, हमलावर एडमिन पैनल में प्रमाणित होता है और एक वेबशेल युक्त दुर्भावनापूर्ण प्लगइन अपलोड करता है।
5. पूर्ण सिस्टम समझौता – वेबशेल सिस्टम कमांड निष्पादन प्रदान करता है, जिससे रिवर्स शेल, पर्सिस्टेंस, लेटरल मूवमेंट और पूर्ण सर्वर अधिग्रहण संभव होता है।

प्रभावित संस्करण

• WordPress 4.7.0 – 7.0.2 – असुरक्षित
• WordPress 7.0.3 और बाद के संस्करण – पैच किया गया
• सुरक्षा अपडेट सभी अनुरक्षित शाखाओं में बैकपोर्ट किए गए हैं

पैच

• WordPress 7.0.3 या नए संस्करण में अपग्रेड करें।
• यदि अपग्रेड संभव नहीं है, तो अस्थायी काम-चालू समाधान के रूप में एप्लिकेशन पासवर्ड सुविधा अक्षम करें।

🧰 उपकरण

📊 फीचर तुलना

🎯 उपयोग केस सारांश

⚙️ इंस्टॉलेशन

git clone https://github.com/tc4dy/CVE-2026-64638-PoC-Exploit
cd CVE-2026-64638-PoC-Exploit
pip install -r requirements.txt

requirements.txt

requests
urllib3
#ops
pymysql
mysql-connector-python
PySocks
requests[socks]

📋 पैरामीटर

exploit.py पैरामीटर

safecheck.py पैरामीटर

💥 परिदृश्य

📊 इंटरैक्टिव शेल कमांड

🧪 एंडपॉइंट और API उपयोग

🛡️ जिम्मेदार उपयोग

• इन उपकरणों का उपयोग केवल उन प्रणालियों पर करें जिनके स्वामी आप हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट लिखित अनुमति है।
• अनधिकृत पहुँच अवैध और अनैतिक है।
• लेखक किसी भी दुरुपयोग के लिए उत्तरदायी नहीं हैं।
• हमेशा अपने देश के कानूनों और विनियमों का पालन करें।

यह सॉफ़्टवेयर केवल शैक्षिक उद्देश्यों और अधिकृत सुरक्षा परीक्षण के लिए प्रदान किया गया है।

कानूनी अनुपालन