CVE-2026-3844

root@kitploit:~

╔════════════════════════════════════════════════════════════╗
║ CVE-2026-3844                                             ║
║ Breeze Cache <= 2.4.4 Arbitrary File Upload               ║
║ Unauthenticated RCE | Authorized Lab Use Only              ║
╚════════════════════════════════════════════════════════════╝

Panoramica

CVE-2026-3844 è una vulnerabilità di caricamento arbitrario di file che interessa le versioni vulnerabili del plugin WordPress Breeze Cache. Quando l'hosting locale di Gravatar è abilitato, Breeze può recuperare gli URL degli avatar e archiviare il file scaricato in una directory di cache accessibile via web senza validare adeguatamente il tipo di file.

Come Funziona

Attacker-controlled avatar URL
        |
        v
WordPress renders an avatar
        |
        v
Breeze Gravatar local-cache handler
        |
        v
download_url() fetches the remote file
        |
        v
File is saved under wp-content/cache/breeze-extra/gravatars/
        |
        v
Web-accessible uploaded file

Il comportamento vulnerabile si trova nel flusso di caching di Gravatar di Breeze:

• L'URL src dell'avatar viene accettato dal gestore Gravatar di Breeze.
• Il file remoto viene scaricato tramite download_url() di WordPress.
• Il nome del file salvato deriva dal percorso dell'URL remoto.
• Le versioni vulnerabili non bloccano adeguatamente le estensioni pericolose né validano il tipo MIME.
• Il file risultante può finire in un percorso di cache pubblico.

Area vulnerabile rilevante:

inc/class-breeze-cache-cronjobs.php
fetch_gravatar_from_remote()

Requisiti

Requisiti del target:

• Sito WordPress che utilizza Breeze Cache <= 2.4.4.
• Il plugin Breeze è attivo.
• Host Files Locally - Gravatars è abilitata.
• Il sito visualizza avatar su almeno una pagina o endpoint raggiungibile.

Note per il laboratorio locale:

• Su localhost, questo proof of concept può utilizzare un percorso di scrittura diretto nella cache locale quando viene rilevata la directory di WordPress.
• Per test remoti autorizzati, lo script tenta di innescare il comportamento vulnerabile di caching di Gravatar tramite normali richieste HTTP.

Installazione

git clone https://github.com/AnggaTechI/CVE-2026-3844.git
cd CVE-2026-3844
python3 --version

Non sono richiesti pacchetti Python di terze parti. Lo script utilizza solo moduli della libreria standard di Python.

Utilizzo

Esegui lo strumento:

python3 exploit.py

Esempio con un singolo target:

[*] Target URL or file: http://localhost/lab-wp

Esempio con lista di target:

[*] Target URL or file: targets.txt
[*] Threads (default 30): 30
[*] Auto-inject on vulnerable? [y/N]: n

Esempio di output:

[+] Loaded 1 target(s)
[+] Scanning 1 targets with 30 threads

[+] [1/1] localhost/lab-wp -> v2.4.4 gravatar=ON
[+] VULNERABLE: 1/1
[+] Saved: result.txt

Modalità

Rilevamento

Lo script verifica se il target sembra essere WordPress, legge i metadati del plugin Breeze e confronta la versione rilevata con l'intervallo vulnerabile.

Stato di Gravatar

Lo script tenta di dedurre se l'hosting locale di Gravatar è abilitato verificando i riferimenti alla cache breeze-extra/gravatars di Breeze.

Test di payload autorizzato

Quando l'auto-iniezione è abilitata, lo script tenta di verificare la sfruttabilità distribuendo un payload di test generato e controllando il suo marker.

Per i laboratori locali, lo script può utilizzare l'accesso diretto al filesystem quando riesce a identificare la root di WordPress. Per i test remoti autorizzati, avvia un server payload temporaneo e tenta di innescare il flusso di caching di Gravatar di Breeze.

Percorsi di cache previsti

A seconda della configurazione di WordPress, i file in cache possono apparire in una di queste forme:

/wp-content/cache/breeze-extra/gravatars/<filename>
/wp-content/cache/breeze-extra/gravatars/1/<filename>

Il primo percorso è comune nelle installazioni WordPress normali a sito singolo. Il secondo può apparire quando è incluso un ID di blog/sito.

Checklist per il laboratorio

Usa questa checklist quando testi in un laboratorio WordPress locale:

• Breeze Cache 2.4.4 è installato.
• Breeze Cache è attivo.
• Host Files Locally - Gravatars è abilitata.
• Almeno una pagina che visualizza avatar è raggiungibile.
• La directory di cache esiste sotto wp-content/cache/breeze-extra/gravatars/.
• Apache/PHP può servire file dal percorso wp-content di WordPress.

Risoluzione dei problemi

gravatar=OFF

Il plugin potrebbe essere attivo, ma Breeze non ha ancora generato i file di cache locali di Gravatar. Visita una pagina che visualizza avatar o chiama un percorso di rendering degli avatar di WordPress nel laboratorio.

not vulnerable

Le cause comuni sono versioni di Breeze patchate, Breeze non installato, WordPress non rilevato all'URL o il percorso target privo di una sottodirectory come /lab-wp.

Injection failed

L'impostazione di Gravatar potrebbe essere disabilitata, il sito potrebbe non visualizzare avatar pubblicamente, il percorso della cache potrebbe non essere scrivibile oppure l'URL del payload remoto potrebbe non essere raggiungibile dal server WordPress.

Uso Responsabile

Questo repository è destinato a scopi educativi, riproduzione in laboratorio locale e test di sicurezza autorizzati. Non eseguirlo su sistemi che non possiedi o per i quali non hai esplicito permesso di testare.

Riferimenti

• NVD: CVE-2026-3844
• Avviso Wordfence
• Changeset Trac del Plugin WordPress