EXPLOIT CVE-2026-8832

Uma ferramenta de exploração para testar vulnerabilidades de Execução Remota de Código (RCE) no plugin WordPress WPCode Lite (Insert Headers and Footers) v2.3.5. Esta vulnerabilidade decorre do registo do Custom Post Type (CPT) wpcode sem definir um capability_type personalizado. Esta falha permite que qualquer utilizador com o papel Author (ou superior) execute código PHP arbitrário no servidor via XML-RPC.

Crédito: Criada com base na análise de vulnerabilidade por t.me/Fanatix_Legion.

⚠️ Aviso Legal

APENAS PARA TESTES DE SEGURANÇA AUTORIZADOS. A utilização não autorizada desta ferramenta contra sistemas que não possui é ILEGAL. Utilize-a estritamente em sistemas onde tenha permissão explícita e por escrito para realizar testes de penetração. O autor não assume qualquer responsabilidade e não se responsabiliza por qualquer uso indevido ou danos causados por este programa.

🚀 Funcionalidades

• Exploração Automatizada: Executa toda a cadeia de exploração desde a impressão digital até à execução de código em 6 passos automatizados.
• Contorno XML-RPC: Utiliza o endpoint wp.newPost via XML-RPC para contornar as proteções administrativas da interface do plugin.
• Payloads PHP Puros: Todos os payloads incorporados são concebidos utilizando funções nativas puras do PHP. Isto é especificamente elaborado para contornar as restrições disable_functions comummente encontradas em ambientes de alojamento partilhado (como CloudLinux) que bloqueiam funções como shell_exec e system.
• Shell Interativo Baseado na Web: Inclui uma opção de payload com GUI web para navegar e executar comandos PHP facilmente a partir de um navegador.
• Limpeza Automática: Remove com segurança os snippets de teste e os posts de acionamento da base de dados após a execução.

📦 Requisitos

• Python 3.6+
• Biblioteca requests

pip install requests

🛠️ Uso

Execute o script a partir do seu terminal/linha de comandos:

python wpcode_rce_tester.py

A ferramenta solicitará interativamente o seguinte:

1. URL do WordPress: O URL alvo (ex.: http://localhost).
2. Nome de Utilizador: Um nome de utilizador de conta com privilégios de pelo menos Author.
3. Palavra-passe: A palavra-passe da conta.
4. Payload: A escolha do payload que deseja executar (selecionar 1-8).

Payloads Disponíveis

1. Informação do Sistema: Exibe o utilizador atual (get_current_user) e informação do SO (php_uname).
2. Shell PHP Interativo via GET: Executa entrada da consola como código PHP (através do parâmetro ?cmd=).
3. Informação PHP: Executa phpinfo().
4. Leitor de Configuração do WordPress: Lê constantes internas do WordPress, como credenciais da base de dados.
5. Listagem de Ficheiros: Lista recursivamente ficheiros e pastas em DOCUMENT_ROOT nativamente utilizando scandir().
6. Shell PHP Interativo Baseado na Web: Cria um formulário POST HTML simples para escrever e executar código PHP interativamente no navegador, altamente eficaz quando a execução a nível do SO está bloqueada.
7. Prova de Conceito: Apenas exibe "RCE VERIFIED" sem ler dados sensíveis ou prejudicar o sistema.
8. Payload Personalizado: Introduza o seu próprio código PHP bruto para execução.

🛡️ Correção

Para proteger o seu site WordPress:

1. Atualize imediatamente o plugin WPCode Lite para a versão mais recente.
2. Se não for possível atualizar, desative completamente o XML-RPC se este não estiver a ser utilizado, adicionando o seguinte a um plugin ou mu-plugins:
   root@kitploit:~

   add_filter('xmlrpc_enabled', '__return_false');