CVE-2026-8732 — Criação de Administrador Não Autenticada no WP Maps Pro

English | Türkçe

Português

Visão Geral

CVE-2026-8732 é uma vulnerabilidade crítica (CVSS 9.8) no plugin WordPress WP Maps Pro (wp-google-map-gold) (versão <= 6.1.0). Atacantes não autenticados podem criar contas de administrador do WordPress abusando da ação AJAX wpgmp_temp_access_ajax. O nonce que protege o endpoint é incorporado publicamente nas páginas do frontend, tornando-o ineficaz como mecanismo de controle de acesso.

Autores: fientix & quake

Recursos

• Varredura de URL única ou varredura em massa de múltiplos alvos via lista (-l).
• Execução multithread (-t).
• Salvamento automático de credenciais de administrador vulneráveis (-o).
• Timeout de requisição personalizado (--timeout).
• Log detalhado no console (-v).

Uso

# Varredura de Alvo Único
python CVE-2026-8732.py -u https://example.com -v

# Varredura em Massa de Múltiplos Alvos e Salvamento dos Resultados
python CVE-2026-8732.py -l targets.txt -t 20 -o success.txt

# Timeout Personalizado (Segundos)
python CVE-2026-8732.py -l targets.txt --timeout 15

Türkçe

Genel Bakış

CVE-2026-8732, WP Maps Pro (wp-google-map-gold) WordPress eklentisinin <= 6.1.0 sürümlerinde bulunan kritik düzeyde (CVSS 9.8) bir zafiyettir. Yetkisiz saldırganlar, wpgmp_temp_access_ajax AJAX eylemini kötüye kullanarak yetkisiz şekilde yönetici (admin) hesabı oluşturabilirler. İsteği koruması gereken nonce değeri ön yüzde herkese açık olarak yayınlandığından erişim kontrolü işlevini yitirmektedir.

Yazarlar: fientix & quake

Özellikler

• Tek hedef URL taraması veya liste üzerinden toplu tarama (-l).
• Çoklu iş parçacığı (multi-threading) desteği (-t).
• Başarılı yönetici hesaplarını dosyaya kaydetme (-o).
• İsteğe bağlı zaman aşımı süresi ayarlama (--timeout).
• Detaylı konsol çıktısı (-v).

Kullanım

# Tek Hedef Taraması
python CVE-2026-8732.py -u https://example.com -v

# Çoklu Hedef Taraması ve Sonuçları Kaydetme
python CVE-2026-8732.py -l targets.txt -t 20 -o success.txt

# Özel Zaman Aşımı Süresi (Saniye)
python CVE-2026-8732.py -l targets.txt --timeout 15

"Muito obrigado pelo seu apoio neste projeto, @Quake-py"