EXPLOIT-CVE-2026-8832

Exploit RCE automatizzato per WordPress WPCode Lite v2.3.5 (CVE-2026-8832) con 8 payload PHP integrati, bypass XML-RPC e shell interattiva basata sul web per test di penetrazione autorizzati.

• Sfruttamento automatizzato: Esegue l'intera catena di sfruttamento, dalla fingerprinting all'esecuzione del codice, in 6 passaggi automatizzati.
• Bypass XML-RPC: Sfrutta l'endpoint wp.newPost tramite XML-RPC per aggirare le protezioni amministrative dell'interfaccia del plugin.
• Payload PHP puri: Tutti i payload integrati sono progettati utilizzando funzioni native PHP pure. Questo è specificamente pensato per bypassare le restrizioni disable_functions comunemente presenti negli ambienti di hosting condiviso (come CloudLinux), che bloccano funzioni come shell_exec e system.
• Shell interattiva basata sul web: Include un'opzione di payload con GUI web per navigare ed eseguire facilmente comandi PHP dal browser.
• Pulizia automatica: Pulisce in modo sicuro il database rimuovendo gli snippet di test e i post trigger dopo l'esecuzione.

📦 Requisiti

• Python 3.6+
• Libreria requests

🛠️ Utilizzo

Esegui lo script dal tuo terminale/prompt dei comandi:

Lo strumento ti chiederà in modo interattivo quanto segue:

1. URL di WordPress: L'URL del target (es. http://localhost).
2. Nome utente: Un nome utente di un account con almeno privilegi di Autore.
3. Password: La password dell'account.
4. Payload: La scelta del payload che desideri eseguire (seleziona 1-8).

Payload disponibili

1. Informazioni di sistema: Mostra l'utente corrente (get_current_user) e le informazioni sul sistema operativo (php_uname).
2. Shell PHP interattiva tramite GET: Esegue l'input della console come codice PHP (tramite il parametro ?cmd=).
3. PHP Info: Esegue phpinfo().
4. Lettore di configurazione WordPress: Legge le costanti interne di WordPress come le credenziali del database.
5. Elencazione file: Elenca ricorsivamente file e cartelle in DOCUMENT_ROOT utilizzando nativamente scandir().
6. Shell PHP interattiva basata sul web: Crea un semplice modulo POST HTML per digitare ed eseguire codice PHP in modo interattivo nel browser, molto efficace quando l'esecuzione a livello di sistema operativo è bloccata.
7. Prova di concetto: Esegue semplicemente l'eco di "RCE VERIFIED" senza leggere dati sensibili o danneggiare il sistema.
8. Payload personalizzato: Inserisci il tuo codice PHP grezzo da eseguire.

🛡️ Rimedio

Per mettere in sicurezza il tuo sito WordPress:

1. Aggiorna immediatamente il plugin WPCode Lite all'ultima versione.
2. Se l'aggiornamento non è possibile, disabilita completamente XML-RPC se non è in uso aggiungendo quanto segue a un plugin o a mu-plugins:
   root@kitploit:~

   add_filter('xmlrpc_enabled', '__return_false');