CVE-2026-8206 - Exploit di Massa per il Plugin Kirki WordPress

Strumento di sfruttamento di massa per CVE-2026-8206 – una vulnerabilità critica nel plugin Kirki WordPress (versioni ≤ 6.0.6) che consente a un attaccante non autenticato di dirottare i link di reset della password e di assumere il controllo di qualsiasi account utente, inclusi gli amministratori.

Panoramica della Vulnerabilità

Il plugin Kirki espone un endpoint REST non autenticato (/wp-json/KirkiComponentLibrary/v1/kirki-forgot-password). A causa della mancanza di controlli dei permessi e di una validazione email impropria, un attaccante può:

• Richiedere un reset della password per qualsiasi nome utente valido
• Fornire un indirizzo email arbitrario (ad esempio il proprio) per ricevere il link di reset
• Ottenere il controllo completo dell'account target

Versioni affette: ≤ 6.0.6
Versione corretta: 6.0.7

Caratteristiche

• Multi‑thread – scansiona centinaia di target rapidamente
• Rilevamento automatico del plugin – controlla readme.txt e kirki.min.css (supporta sia le cartelle kirki che kirki-test)
• Estrazione intelligente dei nonce – trova nonce da oltre 12 percorsi comuni (root, login, lostpassword, ecc.) utilizzando più di 10 pattern regex
• Enumerazione degli username – recupera i nomi utente reali da /wp-json/wp/v2/users (fallback su admin)

Requisiti

• Python 2.7
• Libreria requests
• concurrent.futures (backport, solitamente installato)

Installa le dipendenze:

pip install requests futures

Installazione

git clone https://github.com/Jenderal92/CVE-2026-8206.git
cd CVE-2026-8206

Modifica lo script per impostare la tua email di attaccante:

ATTACKER_EMAIL = "[email protected]"   # riga ~15

Utilizzo

python CVE-2026-8206.py <file_target> [thread]

• <file_target> – file di testo con un dominio per riga (con o senza http:///https://)
• [thread] – opzionale, numero di thread concorrenti (default: 15)

Esempio

python CVE-2026-8206.py targets.txt 20

Esempio di file di input (targets.txt)

example.com
https://sito-vulnerabile.com
http://127.0.0.1/wordpress

Output

• res.txt – contiene i target sfruttati con successo nel formato:

  root@kitploit:~

  URL|username|email_attaccante|reset_link_inviato_a_email_attaccante
  

  Esempio:

  root@kitploit:~

  https://example.com|admin|[email protected]|reset_link_inviato_a_email_attaccante
  

• Output della console che mostra lo stato in tempo reale:

  • Versione di Kirki rilevata
  • Username utilizzato
  • Nonce trovati (raggruppati per URL sorgente)
  • Stato del test (VALID / FAILED) per ogni nonce

Come Funziona

1. Rilevamento del plugin – richiede /wp-content/plugins/{kirki,kirki-test}/readme.txt (Stable tag) e /.../kirki.min.css (parametro ver). Se la versione è ≤ 6.0.6, procedi.
2. Estrazione dell'username – prova /wp-json/wp/v2/users, se vuoto, fallback su admin.
3. Raccolta dei nonce – visita oltre 12 URL (root, login, pagine di recupero password, ecc.) ed estrae qualsiasi stringa simile a un nonce (8+ caratteri esadecimali) usando molteplici pattern regex.
4. Tentativo di sfruttamento – per ogni nonce, invia una richiesta POST all'endpoint vulnerabile con:
   • username = username target
   • email = email dell'attaccante
   • emailBody = JSON che include il chip reset_link
5. Successo – se il server risponde con 200 e "Email sent", il target viene scritto in res.txt.

Note Importanti

• Il link di reset viene inviato all'email dell'attaccante; devi avere accesso a quella casella di posta.
• Vengono salvati solo i target validi (sfruttabili) – nessun falso positivo.
• Utilizza responsabilmente e solo su sistemi di tua proprietà o per i quali hai esplicita autorizzazione al test.

Disclaimer

Questo software è fornito solo per scopi educativi e di test di sicurezza autorizzati. L'uso non autorizzato contro sistemi che non possiedi o per i quali non hai il permesso di testare è illegale. L'autore non è responsabile per qualsiasi uso improprio o danno causato da questo strumento.

Per maggiori informazioni, consulta il disclaimer sulla copertina di Jenderal92. Puoi verificarlo QUI !!!

Riferimenti

• CVE-2026-8206 (quando pubblicato)
• Changelog del plugin Kirki