rootdirective-sec/cve-2026-3844-labLaboratorio Docker locale per riprodurre CVE-2026-3844, un upload arbitrario di file non autenticato che porta a RCE nel plugin WordPress Breeze Cache. Confronta la versione vulnerabile 2.4.4 con la 2.4.5 corretta utilizzando servizi isolati e una PoC a danno minimo.
Lab Docker solo locale per riprodurre e confrontare il comportamento della CVE-2026-3844 nel plugin WordPress Breeze Cache.
Questo repository dimostra il comportamento vulnerabile in Breeze Cache 2.4.4 e lo confronta con il comportamento corretto in Breeze Cache 2.4.5. Il lab utilizza due servizi WordPress isolati, uno vulnerabile e uno corretto, oltre a un server payload locale all'interno della rete Docker.
La prova di concetto è intenzionalmente a impatto minimo: non usa una webshell, non espone un parametro di comando, non avvia una reverse shell e non richiede la lettura di file dall'interno del container. La prova si basa sul comportamento HTTP osservabile dall'host.
La CVE-2026-3844 colpisce il plugin Breeze Cache per WordPress fino alla versione 2.4.4 inclusa. Il percorso di codice vulnerabile è legato alla funzionalità di caching locale dei Gravatar del plugin, in particolare al flusso di fetch_gravatar_from_remote().
Quando l'opzione Breeze Host Files Locally - Gravatars è abilitata, le versioni vulnerabili possono recuperare un file remoto controllato dall'attaccante e salvarlo in una directory cache pubblicamente accessibile via web. Se il file recuperato è PHP, il file può essere eseguito dal web server quando viene richiesto via HTTP.
Questo lab riproduce localmente questo comportamento:
vuln: WordPress + Breeze Cache 2.4.4patched: WordPress + Breeze Cache 2.4.5payload: server payload locale solo Dockersrcset controllataIl risultato atteso è:
http://127.0.0.1:8081 / Breeze 2.4.4 → la prova PHP viene memorizzata nella cache ed eseguitahttp://127.0.0.1:8082 / Breeze 2.4.5 → la prova PHP non viene memorizzata nella cache, letta né eseguita.
├── docker-compose.yml
├── vuln/
│ └── Dockerfile
├── patched/
│ └── Dockerfile
├── scripts/
│ └── seed-wordpress.sh
├── payload/
│ └── manual-proof.php
│ └── proof-cve3844.php
├── poc/
│ └── poc.py
│ └── requirements.txt
├── .gitignore
├── README.md
Host machine
│
├── http://127.0.0.1:8081 -> vuln WordPress + Breeze 2.4.4
├── http://127.0.0.1:8082 -> patched WordPress + Breeze 2.4.5
└── http://127.0.0.1:9100 -> local payload server
Docker network
│
├── vuln -> WordPress vulnerable target
├── patched -> WordPress patched target
├── vuln_db -> MariaDB for vulnerable WordPress
├── patched_db -> MariaDB for patched WordPress
└── payload -> Python static HTTP server
I container WordPress recuperano il payload tramite l'URL della rete Docker:
http://payload:9100/<payload-file>.php
L'host verifica il risultato tramite normali richieste HTTP ai servizi WordPress.
2.4.42.4.5fetch_gravatar_from_remote()inc/class-breeze-cache-cronjobs.phpbreeze-store-gravatars-locally deve essere abilitataIl comportamento vulnerabile è raggiungibile solo quando la cache locale dei Gravatar è abilitata. Questa opzione è disabilitata per impostazione predefinita nelle installazioni tipiche, ma questo lab la abilita intenzionalmente per riprodurre il percorso di codice vulnerabile.
In Breeze Cache 2.4.4, il flusso di localizzazione dei Gravatar può estrarre un URL remoto dall'HTML relativo agli avatar e passare quell'URL a fetch_gravatar_from_remote().
La versione vulnerabile non applica una validazione sufficiente al file remoto:
.phpIl file risultante viene salvato in:
/wp-content/cache/breeze-extra/gravatars/
Quando un file PHP viene salvato lì e poi richiesto tramite Apache/PHP, il server lo esegue.
In Breeze Cache 2.4.5, il flusso corretto aggiunge una validazione che impedisce al payload di questo lab di essere memorizzato nella cache come PHP eseguibile. Nella riproduzione locale, lo stesso trigger funziona contro 2.4.4 ma non espone il marcatore di prova contro 2.4.5.
Questo lab mantiene intenzionalmente il server payload locale invece di usare un host payload pubblico.
download_url() di WordPress e l'API HTTP di WordPress rifiutano di default alcuni hostname Docker privati e porte non standard. Gli script exploit pubblici usano spesso URL HTTPS pubblici per il payload, che evitano questa restrizione. Questo lab non fa così.
Per mantenere la riproduzione completamente locale, lo script di seed installa un piccolo MU plugin helper solo locale che:
payload e payload.local80 e 9100Questo helper non modifica il codice sorgente di Breeze. Sia il servizio vulnerabile sia quello corretto usano versioni reali del plugin Breeze installate tramite WP-CLI.
L'helper esiste solo per rendere il lab Docker deterministico e solo locale.
Questo repository è destinato esclusivamente a ricerca di sicurezza locale e dimostrazioni per portfolio.
Vincoli di sicurezza:
localhost e servizi di rete Dockercmd=Il payload del PoC stampa informazioni benigne sull'ambiente runtime di PHP:
CVE-2026-3844_LEAST_HARM_PHP_EXEC_PROOF_<nonce>
php_sapi=apache2handler
user=www-data
uid=33
pid=<process id>
host=<container hostname>
Questo dimostra il contesto di esecuzione del codice senza avviare comandi di shell.
requestsInstalla la dipendenza Python:
python3 -m venv .venv
source .venv/bin/activate
pip install -r poc/requirements.txt
requirements.txt deve contenere:
requests
Compila e avvia il lab:
docker compose down -v --remove-orphans
docker compose up -d --build
Controlla lo stato dei servizi:
docker compose ps
Servizi attesi:
vuln healthy http://127.0.0.1:8081
patched healthy http://127.0.0.1:8082
payload running http://127.0.0.1:9100
vuln_db healthy
patched_db healthy
Controlla i log di seed:
docker compose logs --tail=120 vuln
docker compose logs --tail=120 patched
Righe di log attese:
[seed] WordPress ready at http://localhost:8081 with Breeze 2.4.4
[seed] WordPress ready at http://localhost:8082 with Breeze 2.4.5
Controlla l'installazione di WordPress:
docker compose exec vuln wp core is-installed --allow-root --path=/var/www/html
docker compose exec patched wp core is-installed --allow-root --path=/var/www/html
Controlla le versioni di Breeze: