cflowsec/cve-2026-15667Proof-of-concept in Python per CVE-2026-15667, un local file inclusion autenticato nel plugin WordPress Eventin tramite il campo REST event_layout.
CVE-2026-15667 WordPress Event Solution LFI POC
Eventin (plugin WordPress wp-event-solution) ≤ 4.1.22 — local file inclusion autenticata (Contributor+) tramite il campo REST event_layout.
Solo per test autorizzati. Non eseguire questo strumento contro sistemi di cui non si è proprietari o per cui non si ha il permesso di eseguire test.
Richiede: Python 3, solo libreria standard.
python3 cve-2026-15667-eventin-lfi.py -u http://TARGET --test
python3 cve-2026-15667-eventin-lfi.py -u http://TARGET --test --uname USER --password PASS
python3 cve-2026-15667-eventin-lfi.py -u http://TARGET --file /etc/passwd --uname USER --password PASS
python3 cve-2026-15667-eventin-lfi.py -u http://TARGET --file /etc/passwd --session 'wordpress_logged_in_HASH=...'
| Flag | Cosa fa |
|---|
-u / --url | Radice del sito WordPress (obbligatorio). http:// o https://; un hostname viene provato prima come HTTPS, poi come HTTP. Il TLS con certificato self-signed viene ritentato automaticamente. |
--test | Ospite: versione del plugin + route REST. Con autenticazione: invia un POST con traversal e segnala se è stato memorizzato |
--file PATH | Include PATH tramite la LFI e stampa l'output. Richiede autenticazione |
--uname | Nome utente WordPress (Contributor+) |
--password | Password WordPress |
--session | Header Cookie del browser (o wordpress_logged_in_*=...). Salta /wp-login.php |
--uname/--password e --session sono intercambiabili. Serve una coppia o il cookie per --file e per la metà autenticata di --test.
--test senza credenziali è non autenticato (readme + /wp-json/eventin/v2/events). L'include stesso non lo è.
Il plugin include {layout}.php, quindi --file /etc/passwd richiede /etc/passwd.php. Passa un percorso .php, o un percorso che esiste dopo l'aggiunta di .php.
Stdout: VERSION, ROUTE, PRESENT, NEED_AUTH, VULNERABLE, NOT_VULNERABLE, AUTH_FAILED, contenuto del file.
CVE: CVE-2026-15667. Segnalato da Wordfence PRISM.