🌀 CVE‑2026‑64638 – WordPress XSS2Shell セキュリティスイート

⚠️ 倫理的な使用のみ – 許可されたセキュリティテスト
このリポジトリは、許可を得たセキュリティ専門家、ブルーチーム、ペネトレーションテスター のみを対象としたツールを提供します。
コンピュータシステムへの不正アクセスは、CFAA（米国）、Computer Misuse Act（英国）、TCK 243/244（トルコ）、および世界各国の類似法規 により違法です。

📖 脆弱性の概要

CVE‑2026‑64638 は、WordPress コアバージョン 4.7.0 から 7.0.2 における重大な認証前の反射型 XSS 脆弱性であり、攻撃者が Application Password 機能を通じて XSS 攻撃を 完全なリモートコード実行（RCE） に昇格させることを可能にします。

動作の仕組み

1. パーサーの差分 – PHP の strip_tags() と WordPress の wp_kses_post() は HTML タグの解析方法が異なるため、悪意のある入力がサニタイズを通過する可能性があります。
2. 反射型 XSS – 攻撃者は特別に細工したペイロードをログインフォーム (wp-login.php) に注入します。ログイン失敗時に、ペイロードは反射され、被害者のブラウザで実行されます。
3. Application Password の悪用 – 注入された JavaScript は WordPress REST API を通じて Application Password を自動生成し、攻撃者に流出させます。
4. プラグインアップロード (RCE) – 取得した Application Password を使用して、攻撃者は管理パネルに認証し、ウェブシェルを含む悪意のあるプラグインをアップロードします。
5. システム全体の侵害 – ウェブシェルはシステムコマンド実行を提供し、リバースシェル、永続化、横展開、サーバー全体の乗っ取りを可能にします。

影響を受けるバージョン

• WordPress 4.7.0 – 7.0.2 – 脆弱
• WordPress 7.0.3 以降 – 修正済み
• セキュリティ更新プログラムは、サポートされているすべてのブランチにバックポートされています。

パッチ

• WordPress 7.0.3 以降にアップグレードしてください。
• アップグレードが不可能な場合は、一時的な回避策として Application Password 機能を無効化 してください。

🧰 ツール

📊 機能比較

🎯 ユースケース概要

⚙️ インストール

git clone https://github.com/tc4dy/CVE-2026-64638-PoC-Exploit
cd CVE-2026-64638-PoC-Exploit
pip install -r requirements.txt

requirements.txt

requests
urllib3
#ops
pymysql
mysql-connector-python
PySocks
requests[socks]

📋 パラメータ

exploit.py のパラメータ

safecheck.py のパラメータ

💥 シナリオ

📊 対話型シェルコマンド

🧪 エンドポイントと API の使用

🛡️ 責任ある使用

• これらのツールは、自分が所有するシステム、または明示的な書面によるテスト許可を得たシステムでのみ使用してください。
• 不正アクセスは違法であり、非倫理的です。
• 作者は誤用について一切の責任を負いません。
• 常に自国の法律と規制に従ってください。

このソフトウェアは、教育目的および許可されたセキュリティテスト専用 として提供されます。

法的コンプライアンス