CVE-2026-8732 — WP Maps Pro 未認証管理者作成

日本語

概要

CVE-2026-8732 は、WP Maps Pro (wp-google-map-gold) WordPressプラグイン（バージョン <= 6.1.0）における重大な脆弱性（CVSS 9.8）です。未認証の攻撃者は、wpgmp_temp_access_ajax AJAXアクションを悪用してWordPress管理者アカウントを作成できます。エンドポイントを保護するnonceはフロントエンドページに公開されて埋め込まれているため、アクセス制御メカニズムとして機能しません。

作成者: fientix & quake

機能

単一URLスキャン、またはリスト（-l）による複数ターゲットの一括スキャン。
マルチスレッド実行（-t）。
脆弱な管理者認証情報の自動保存（-o）。
カスタムリクエストタイムアウト（--timeout）。
詳細なコンソールログ出力（-v）。

使用方法

# 単一ターゲットスキャン
python CVE-2026-8732.py -u https://example.com -v

# 複数ターゲットの一括スキャンと結果の保存
python CVE-2026-8732.py -l targets.txt -t 20 -o success.txt

# カスタムタイムアウト（秒）
python CVE-2026-8732.py -l targets.txt --timeout 15

Türkçe

Genel Bakış

CVE-2026-8732, WP Maps Pro (wp-google-map-gold) WordPress eklentisinin <= 6.1.0 sürümlerinde bulunan kritik düzeyde (CVSS 9.8) bir zafiyettir. Yetkisiz saldırganlar, wpgmp_temp_access_ajax AJAX eylemini kötüye kullanarak yetkisiz şekilde yönetici (admin) hesabı oluşturabilirler. İsteği koruması gereken nonce değeri ön yüzde herkese açık olarak yayınlandığından erişim kontrolü işlevini yitirmektedir.

Yazarlar: fientix & quake

Özellikler

Tek hedef URL taraması veya liste üzerinden toplu tarama (-l).
Çoklu iş parçacığı (multi-threading) desteği (-t).
Başarılı yönetici hesaplarını dosyaya kaydetme (-o).
İsteğe bağlı zaman aşımı süresi ayarlama (--timeout).
Detaylı konsol çıktısı (-v).

Kullanım

# Tek Hedef Taraması
python CVE-2026-8732.py -u https://example.com -v

# Çoklu Hedef Taraması ve Sonuçları Kaydetme
python CVE-2026-8732.py -l targets.txt -t 20 -o success.txt


# Özel Zaman Aşımı Süresi (Saniye)
python CVE-2026-8732.py -l targets.txt --timeout 15

"このプロジェクトへのご支援、誠にありがとうございます。@Quake-py"

CVE-2026-8732-PoC

人気