CVE-2026-64638 — XSS2Shell 概念実証（PoC）

CVE-2026-64638 を検証するための概念実証（PoC）ツールです。これは、WordPress インストール（バージョン 6.4 ～ 7.0.2）に影響を与える事前認証型の反射型クロスサイトスクリプティング（XSS）脆弱性です。

概要

このツールは、CVE-2026-64638 に関するフィンガープリンティング、検証、PoC 生成のプロセスを自動化します。悪意のあるペイロードを展開することなく、対象の WordPress インストールが事前認証型の反射型 XSS に対して脆弱かどうかを安全に確認します。対象が脆弱であると確認された場合、許可されたセキュリティテストやバグバウンティレポートへの記載に使用できる HTML PoC を生成します。

機能

• バージョンフィンガープリンティング: 複数のヒューリスティックを使用して、対象の WordPress バージョンを正確に検出します。
• 安全な検証: ペイロードのリフレクションと REST API JSONP エンドポイントをテストし、悪用可能性を安全に確認します。
• アーティファクト生成: HTML PoC ファイル、curl 再現コマンド、レポート用スニペットを自動生成します。
• ペイロードバリアント: さまざまなフィルタリングシナリオをテストするための複数のバイパスバリアント（standard、envelope、waf）をサポートします。

アーキテクチャ / 動作の仕組み

1. フィンガープリンティング: generator タグ、readme.html、またはエンキューされたスクリプトパラメータを介して WordPress バージョンを識別します。
2. エンドポイント検証: wp-login.php が到達可能で機能することを確認します。
3. ペイロードリフレクションの確認: 細工されたユーザー名ペイロードを wp-login.php に送信し、応答内で必要な DOM 要素（例：ajaxurl、color-picker）がサニタイズ後も残っているかどうかを確認します。
4. JSONP コールバックの確認: REST API の JSONP 機能をテストして JavaScript の評価が可能かどうかを検証し、攻撃チェーンを完成させます。
5. レポート生成: 調査結果を再現可能なアーティファクトにまとめます。

要件

• Python 3.x
• 対応オペレーティングシステム: Linux、macOS、Windows
• 依存関係: requests>=2.31.0、urllib3

インストール

リポジトリをクローンし、必要な依存関係をインストールします:

git clone https://github.com/your-username/xss2shell-poc.git
cd xss2shell-poc
pip install -r requirements.txt

設定

このツールは、環境変数や複雑な設定ファイルを必要としません。すべてのパラメータはコマンドライン引数で直接渡されます。

使用方法

許可された対象に対して、Python 3 でツールを実行します。

基本の脆弱性チェック（PoC 生成なし）

python3 xss2shell_poc.py -t https://target.com --check-only

完全な検証と PoC 生成

python3 xss2shell_poc.py -t https://target.com

高度なバリアント

標準ペイロードが WAF によってブロックされた場合、または REST エンドポイントが HTTP 401 を返す場合は、代替バリアントを試してください:

python3 xss2shell_poc.py -t https://target.com --variant waf
python3 xss2shell_poc.py -t https://target.com --variant envelope

カスタム PoC ファイル名

python3 xss2shell_poc.py -t https://target.com -o custom_poc.html

プロジェクト構成

.
├── .gitignore
├── CONTRIBUTING.md
├── LICENSE
├── README.md
├── SECURITY.md
├── requirements.txt
└── xss2shell_poc.py

実行例

実行出力例

Target  : https://target.com
Variant : standard
Mode    : Full PoC

[>] Phase 1 — WordPress Version Fingerprint
[+] WordPress 7.0.2 — VULNERABLE (6.4 – 7.0.2)

[>] Phase 2 — Confirm Login Page
[+] wp-login.php reachable (HTTP 200)

[>] Phase 3 — Testing XSS Payload (variant: standard)
[+] XSS PAYLOAD SURVIVED SANITIZATION!
[+] Injected DOM elements found in response: ['id="ajaxurl"', 'id="color-picker"']

[>] Phase 4 — REST API JSONP Callback Check
[+] REST JSONP callback works: https://target.com/?rest_route=/&_method=GET&_jsonp=testcb
[+] jQuery will evaluate response as script → XSS fires automatically

セキュリティ

このリポジトリには、セキュリティ関連のテストツールが含まれています。 責任ある開示ポリシーと許可された使用要件については、SECURITY.md を参照してください。

制限事項

• 対象が WordPress のバージョンを隠すための強固な「隠蔽によるセキュリティ」対策を実装している場合、バージョンのフィンガープリンティングが失敗する可能性があります。
• 基盤となるソフトウェアが脆弱であっても、WAF がペイロードのリフレクションチェックをブロックする可能性があります。

コントリビューション

プロフェッショナルなコントリビューションを歓迎します! ワークフロー、コード品質基準、提出ガイドラインの詳細については、CONTRIBUTING.md を参照してください。

ライセンス

このプロジェクトは MIT ライセンス の下でライセンスされています。

クレジット / 帰属

• 脆弱性ロジックは、CVE-2026-64638 に関する公開されているセキュリティアドバイザリに基づいています。
• PoC スクリプトの構造とペイロードは、テスト目的でプロジェクトのコントリビューターによって厳選されました。

免責事項

許可された用途のみを対象としています。 このプロジェクトは、システム所有者から明示的な書面による許可が付与された、許可されたペネトレーションテスト、セキュリティ調査、およびバグバウンティプログラム専用に提供されています。所有していない、またはテストする許可がないシステムに対してこのツールを使用しないでください。著者およびコントリビューターは、このソフトウェアの使用に起因する誤用、損害、または法的結果について一切の責任を負いません。