CVE-2026-8206 - Kirki WordPress プラグイン大量悪用ツール

CVE-2026-8206 用の大量悪用ツール – Kirki WordPress プラグイン（バージョン ≤ 6.0.6）の重大な脆弱性を悪用し、認証されていない攻撃者がパスワードリセットリンクを乗っ取って、管理者を含む任意のユーザーアカウントを乗っ取ることができます。

脆弱性の概要

Kirki プラグインは、認証不要の REST エンドポイント（/wp-json/KirkiComponentLibrary/v1/kirki-forgot-password）を公開しています。権限チェックの欠如と不適切なメール検証により、攻撃者は以下を行うことができます：

• 任意の有効なユーザー名に対してパスワードリセットを要求する
• 任意のメールアドレス（例：攻撃者自身のもの）を指定してリセットリンクを受け取る
• 対象アカウントを完全に制御する

影響を受けるバージョン: ≤ 6.0.6
修正済みバージョン: 6.0.7

特徴

• マルチスレッド – 数百のターゲットをすばやくスキャン
• 自動プラグイン検出 – readme.txt と kirki.min.css をチェック（kirki と kirki-test フォルダの両方をサポート）
• スマートな nonce 抽出 – 12 以上の一般的なパス（ルート、ログイン、lostpassword など）から 10 以上の正規表現パターンを使用して nonce を検出
• ユーザー名の列挙 – /wp-json/wp/v2/users から実際のユーザー名を取得（フォールバック：admin）

必要条件

• Python 2.7
• requests ライブラリ
• concurrent.futures（バックポート版、通常はインストール済み）

依存関係をインストールします：

pip install requests futures

インストール

git clone https://github.com/Jenderal92/CVE-2026-8206.git
cd CVE-2026-8206

スクリプトを編集して攻撃者メールを設定します：

ATTACKER_EMAIL = "[email protected]"   # line ~15

使用方法

python CVE-2026-8206.py <targets_file> [threads]

• <targets_file> – 1 行に 1 ドメインを記述したテキストファイル（http:///https:// の有無は問いません）
• [threads] – オプション、同時スレッド数（デフォルト：15）

例

python CVE-2026-8206.py targets.txt 20

入力ファイルの例（targets.txt）

example.com
https://vulnerable-site.com
http://127.0.0.1/wordpress

出力

• res.txt – 悪用に成功したターゲットを次の形式で保存：

  root@kitploit:~

  URL|username|attacker_email|reset_link_sent_to_attacker_email
  

  例：

  root@kitploit:~

  https://example.com|admin|[email protected]|reset_link_sent_to_attacker_email
  

• コンソール出力にリアルタイムの進行状況が表示されます：

  • 検出された Kirki バージョン
  • 使用されたユーザー名
  • 見つかった nonce（ソース URL ごとにグループ化）
  • 各 nonce のテストステータス（VALID / FAILED）

仕組み

1. プラグイン検出 – /wp-content/plugins/{kirki,kirki-test}/readme.txt（Stable tag）と /.../kirki.min.css（ver パラメータ）をリクエストします。バージョンが ≤ 6.0.6 の場合、続行します。
2. ユーザー名の抽出 – /wp-json/wp/v2/users を試行し、空の場合は admin にフォールバックします。
3. nonce の収集 – 12 以上の URL（ルート、ログイン、パスワード忘れページなど）にアクセスし、複数の正規表現パターンを使用して nonce らしき文字列（8 桁以上の 16 進文字）を抽出します。
4. 悪用の試行 – 各 nonce について、脆弱なエンドポイントに POST リクエストを送信します：
   • username = ターゲットのユーザー名
   • email = 攻撃者のメールアドレス
   • emailBody = reset_link チップを含む JSON
5. 成功 – サーバーが 200 と "Email sent" で応答した場合、ターゲットは res.txt に書き込まれます。

重要な注意事項

• リセットリンクは攻撃者のメールアドレスに送信されます。その受信トレイにアクセスできる必要があります。
• 有効な（悪用可能な）ターゲットのみが保存されます。誤検知はありません。
• 責任を持って、所有しているシステム、または明示的なテスト許可を得たシステムでのみ使用してください。

免責事項

このソフトウェアは、教育目的および許可されたセキュリティテスト専用に提供されています。所有していない、またはテスト許可を得ていないシステムに対する不正使用は違法です。作者は、このツールの誤用または損害について一切の責任を負いません。

詳細な免責事項は Jenderal92 のカバーに記載されています。こちらで確認できます。

参照

• CVE-2026-8206（公開時）
• Kirki プラグインのチェンジログ