CVE-2026-64638 — Prova de Conceito XSS2Shell

Uma ferramenta de prova de conceito (PoC) para validar a CVE-2026-64638, uma vulnerabilidade de Cross-Site Scripting (XSS) refletido pré-autenticação que afeta instalações do WordPress (versões 6.4 – 7.0.2).

Visão Geral

Esta ferramenta automatiza o processo de fingerprinting, validação e geração de uma PoC para a CVE-2026-64638. Ela confirma com segurança se uma instalação do WordPress alvo é vulnerável ao XSS refletido pré-autenticação sem implantar payloads maliciosos. Se o alvo for confirmado como vulnerável, ela pode gerar uma PoC em HTML para testes de segurança autorizados e inclusão em relatórios de bug bounty.

Recursos

• Fingerprinting de Versão: Detecta com precisão a versão do WordPress alvo usando múltiplas heurísticas.
• Validação Segura: Testa a reflexão de payload e endpoints JSONP da REST API para confirmar a explorabilidade com segurança.
• Geração de Artefatos: Gera automaticamente arquivos PoC em HTML, comandos de reprodução com curl e trechos de relatório.
• Variantes de Payload: Suporta múltiplas variantes de bypass (standard, envelope, waf) para testar diferentes cenários de filtragem.

Arquitetura / Como Funciona

1. Fingerprinting: Identifica a versão do WordPress por meio de tags generator, readme.html ou parâmetros de scripts enfileirados.
2. Validação de Endpoint: Confirma que wp-login.php está acessível e funcional.
3. Verificação de Reflexão de Payload: Envia um payload de nome de usuário elaborado para wp-login.php e verifica se os elementos DOM necessários (por exemplo, ajaxurl, color-picker) sobrevivem à sanitização na resposta.
4. Verificação de Callback JSONP: Testa a funcionalidade JSONP da REST API para verificar se a avaliação de JavaScript é possível, completando a cadeia.
5. Geração de Relatório: Compila as descobertas em artefatos reproduzíveis.

Requisitos

• Python 3.x
• Sistemas operacionais suportados: Linux, macOS, Windows
• Dependências: requests>=2.31.0, urllib3

Instalação

Clone o repositório e instale as dependências necessárias:

git clone https://github.com/eh-amish/xss2shell-poc.git
cd xss2shell-poc
pip install -r requirements.txt

Configuração

Esta ferramenta não requer variáveis de ambiente nem arquivos de configuração complexos. Todos os parâmetros são passados diretamente por meio de argumentos de linha de comando.

Uso

Execute a ferramenta com Python 3 contra um alvo autorizado.

Verificação Básica de Vulnerabilidade (Sem Geração de PoC)

python3 xss2shell_poc.py -t https://target.com --check-only

Validação Completa e Geração de PoC

python3 xss2shell_poc.py -t https://target.com

Variantes Avançadas

Se o payload padrão for bloqueado por um WAF ou o endpoint REST retornar HTTP 401, tente variantes alternativas:

python3 xss2shell_poc.py -t https://target.com --variant waf
python3 xss2shell_poc.py -t https://target.com --variant envelope

Nome de arquivo de PoC personalizado

python3 xss2shell_poc.py -t https://target.com -o custom_poc.html

Estrutura do Projeto

.
├── .gitignore
├── CONTRIBUTING.md
├── LICENSE
├── README.md
├── SECURITY.md
├── requirements.txt
└── xss2shell_poc.py

Exemplos

Saída de execução de exemplo

Target  : https://target.com
Variant : standard
Mode    : Full PoC

[>] Phase 1 — WordPress Version Fingerprint
[+] WordPress 7.0.2 — VULNERABLE (6.4 – 7.0.2)

[>] Phase 2 — Confirm Login Page
[+] wp-login.php reachable (HTTP 200)

[>] Phase 3 — Testing XSS Payload (variant: standard)
[+] XSS PAYLOAD SURVIVED SANITIZATION!
[+] Injected DOM elements found in response: ['id="ajaxurl"', 'id="color-picker"']

[>] Phase 4 — REST API JSONP Callback Check
[+] REST JSONP callback works: https://target.com/?rest_route=/&_method=GET&_jsonp=testcb
[+] jQuery will evaluate response as script → XSS fires automatically

Segurança

Este repositório contém ferramentas de teste relacionadas à segurança. Consulte SECURITY.md para nossa política de divulgação responsável e requisitos de uso autorizado.

Limitações

• A identificação de versão pode falhar se o alvo tiver implementado medidas robustas de "segurança por obscuridade" para ocultar sua versão do WordPress.
• WAFs podem bloquear a verificação de reflexão de payload mesmo que o software subjacente seja vulnerável.

Contribuindo

Acolhemos contribuições profissionais! Consulte CONTRIBUTING.md para detalhes sobre nosso fluxo de trabalho, padrões de qualidade de código e diretrizes de submissão.

Licença

Este projeto está licenciado sob a MIT License.

Créditos / Atribuição

• A lógica da vulnerabilidade é baseada em avisos de segurança publicamente disponíveis sobre a CVE-2026-64638.
• A estrutura do script PoC e os payloads foram curados pelos contribuidores do projeto para fins de teste.

Aviso Legal

Destinado apenas para uso autorizado. Este projeto é fornecido estritamente para testes de penetração autorizados, pesquisa de segurança e programas de bug bounty nos quais permissão explícita e por escrito foi concedida pelo proprietário do sistema. Não use esta ferramenta contra sistemas que você não possui ou para os quais não tem permissão de teste. Os autores e contribuidores não são responsáveis por qualquer uso indevido, dano ou consequência legal resultante do uso deste software.