EXPLOIT-CVE-2026-8832

Un tool di sfruttamento per testare le vulnerabilità di Esecuzione Remota di Codice (RCE) nel plugin WordPress WPCode Lite (Insert Headers and Footers) v2.3.5. Questa vulnerabilità deriva dalla registrazione del Tipo di Post Personalizzato (CPT) wpcode senza definire un capability_type personalizzato. Questa svista permette a qualsiasi utente con il ruolo di Autore (o superiore) di eseguire codice PHP arbitrario sul server tramite XML-RPC.

Crediti: Creato basandosi sull'analisi della vulnerabilità di t.me/Fanatix_Legion.

⚠️ Disclaimer

SOLO PER TEST DI SICUREZZA AUTORIZZATI. L'uso non autorizzato di questo strumento contro sistemi di cui non si è proprietari è ILLEGALE. Utilizzalo esclusivamente su sistemi per i quali hai esplicita autorizzazione scritta per condurre test di penetrazione. L'autore declina ogni responsabilità e non è responsabile per eventuali usi impropri o danni causati da questo programma.

🚀 Funzionalità

• Sfruttamento automatizzato: Esegue l'intera catena di sfruttamento, dal rilevamento iniziale all'esecuzione del codice, in 6 passaggi automatici.
• Bypass XML-RPC: Sfrutta l'endpoint wp.newPost tramite XML-RPC per aggirare le protezioni amministrative dell'interfaccia del plugin.
• Payload PHP puri: Tutti i payload integrati sono progettati utilizzando funzioni native PHP pure. Questo è specificamente realizzato per bypassare le restrizioni disable_functions comunemente presenti negli ambienti di hosting condiviso (come CloudLinux) che bloccano funzioni come shell_exec e system.
• Shell interattiva basata sul web: Include un'opzione di payload con GUI web per navigare ed eseguire comandi PHP facilmente dal browser.
• Pulizia automatica: Rimuove in sicurezza i frammenti di test e i post trigger dal database dopo l'esecuzione.

📦 Requisiti

• Python 3.6+
• Libreria requests

pip install requests

🛠️ Utilizzo

Esegui lo script dal tuo terminale/riga di comando:

python wpcode_rce_tester.py

Il tool ti chiederà in modo interattivo le seguenti informazioni:

1. URL di WordPress: L'URL di destinazione (es. http://localhost).
2. Nome utente: Un account utente con almeno privilegi di Autore.
3. Password: La password per l'account.
4. Payload: La scelta del payload che desideri eseguire (seleziona 1-8).

Payload disponibili

1. System Info: Mostra l'utente corrente (get_current_user) e le informazioni sul sistema operativo (php_uname).
2. Interactive PHP Shell via GET: Esegue l'input della console come codice PHP (tramite parametro ?cmd=).
3. PHP Info: Esegue phpinfo().
4. WordPress Config Reader: Legge le costanti interne di WordPress come le credenziali del database.
5. File Listing: Elenca ricorsivamente file e cartelle in DOCUMENT_ROOT utilizzando nativamente scandir().
6. Web-Based Interactive PHP Shell: Crea un semplice modulo HTML POST per scrivere ed eseguire codice PHP in modo interattivo nel browser, molto efficace quando l'esecuzione a livello di sistema operativo è bloccata.
7. Proof of Concept: Semplicemente restituisce "RCE VERIFICATA" senza leggere dati sensibili o danneggiare il sistema.
8. Custom Payload: Inserisci il tuo codice PHP personalizzato da eseguire.

🛡️ Rimedio

Per proteggere il tuo sito WordPress:

1. Aggiorna immediatamente il plugin WPCode Lite all'ultima versione.
2. Se non è possibile aggiornare, disabilita completamente XML-RPC se non viene utilizzato aggiungendo quanto segue a un plugin o a mu-plugins:
   root@kitploit:~

   add_filter('xmlrpc_enabled', '__return_false');