🌀 CVE‑2026‑64638 – WordPress XSS2Shell Security Suite

⚠️ SOLO USO ETICO – TEST DI SICUREZZA AUTORIZZATI
Questo repository fornisce strumenti esclusivamente per professionisti della sicurezza autorizzati, blue team e penetration tester.
L'accesso non autorizzato a sistemi informatici è illegale ai sensi del CFAA (USA), Computer Misuse Act (Regno Unito), TCK 243/244 (Turchia) e leggi simili in tutto il mondo.

📖 Panoramica della vulnerabilità

CVE‑2026‑64638 è una vulnerabilità critica di XSS riflesso pre-autenticazione nelle versioni core di WordPress dalla 4.7.0 alla 7.0.2 che consente a un attaccante di escalare un attacco XSS a esecuzione remota di codice (RCE) completa tramite la funzionalità Application Password.

Come funziona

1. Differenziale del parser – le funzioni PHP strip_tags() e wp_kses_post() di WordPress analizzano i tag HTML in modo diverso, consentendo a input dannosi di superare la sanificazione.
2. XSS riflesso – un attaccante inietta un payload appositamente costruito nel modulo di login (wp-login.php). In caso di login fallito, il payload viene riflesso ed eseguito nel browser della vittima.
3. Abuso dell'Application Password – il JavaScript iniettato genera automaticamente un'Application Password tramite l'API REST di WordPress, esfiltrandola verso l'attaccante.
4. Caricamento del plugin (RCE) – utilizzando l'Application Password catturata, l'attaccante si autentica al pannello di amministrazione e carica un plugin dannoso contenente una webshell.
5. Compromissione totale del sistema – la webshell consente l'esecuzione di comandi di sistema, permettendo reverse shell, persistenza, movimento laterale e completa presa di controllo del server.

Versioni interessate

• WordPress 4.7.0 – 7.0.2 – vulnerabile
• WordPress 7.0.3 e successive – corrette
• Gli aggiornamenti di sicurezza sono stati riportati a tutti i rami mantenuti

Patch

• Aggiornare a WordPress 7.0.3 o successivo.
• Se l'aggiornamento non è possibile, disattivare la funzionalità Application Password come soluzione temporanea.

🧰 Strumenti

📊 Confronto delle funzionalità

🎯 Riepilogo dei casi d'uso

⚙️ Installazione

git clone https://github.com/tc4dy/CVE-2026-64638-PoC-Exploit
cd CVE-2026-64638-PoC-Exploit
pip install -r requirements.txt

requirements.txt

requests
urllib3
#ops
pymysql
mysql-connector-python
PySocks
requests[socks]

📋 Parametri

Parametri di exploit.py

Parametri di safecheck.py

💥 Scenari

📊 Comandi della shell interattiva

🧪 Utilizzo di endpoint e API

🛡️ Uso responsabile

• Utilizzare questi strumenti solo su sistemi di propria proprietà o per i quali si dispone di esplicita autorizzazione scritta al test.
• L'accesso non autorizzato è illegale e non etico.
• Gli autori non sono responsabili di qualsiasi uso improprio.
• Rispettare sempre le leggi e le normative del proprio paese.

Questo software è fornito esclusivamente a scopo educativo e per test di sicurezza autorizzati.

Conformità legale