CVE-2026-8206 - Exploração em Massa do Plugin WordPress Kirki

Ferramenta de exploração em massa para CVE-2026-8206 – uma vulnerabilidade crítica no plugin Kirki WordPress (versões ≤ 6.0.6) que permite que atacantes não autenticados sequestrem links de redefinição de senha e assumam o controle de qualquer conta de usuário, incluindo administradores.

Visão Geral da Vulnerabilidade

O plugin Kirki expõe um endpoint REST não autenticado (/wp-json/KirkiComponentLibrary/v1/kirki-forgot-password). Devido à ausência de verificações de permissão e à validação inadequada de e-mail, um atacante pode:

• Solicitar uma redefinição de senha para qualquer nome de usuário válido
• Fornecer um endereço de e-mail arbitrário (por exemplo, o próprio) para receber o link de redefinição
• Obter controle total sobre a conta alvo

Versões afetadas: ≤ 6.0.6
Versão corrigida: 6.0.7

Recursos

• Multithread – verifica centenas de alvos rapidamente
• Detecção automática do plugin – verifica readme.txt e kirki.min.css (suporta as pastas kirki e kirki-test)
• Extração inteligente de nonces – encontra nonces em mais de 12 caminhos comuns (raiz, login, lostpassword, etc.) usando mais de 10 padrões de regex
• Enumeração de nomes de usuário – obtém nomes de usuário reais de /wp-json/wp/v2/users (alternativa: admin)

Requisitos

• Python 2.7
• Biblioteca requests
• concurrent.futures (backport, geralmente instalado)

Instalar dependências:

pip install requests futures

Instalação

git clone https://github.com/Jenderal92/CVE-2026-8206.git
cd CVE-2026-8206

Edite o script para definir o seu e-mail de atacante:

ATTACKER_EMAIL = "[email protected]"   # line ~15

Uso

python CVE-2026-8206.py <targets_file> [threads]

• <targets_file> – arquivo de texto com um domínio por linha (com ou sem http:///https://)
• [threads] – opcional, número de threads simultâneas (padrão: 15)

Exemplo

python CVE-2026-8206.py targets.txt 20

Exemplo de arquivo de entrada (targets.txt)

example.com
https://vulnerable-site.com
http://127.0.0.1/wordpress

Saída

• res.txt – contém os alvos explorados com sucesso no formato:

  root@kitploit:~

  URL|username|attacker_email|reset_link_sent_to_attacker_email
  

  Exemplo:

  root@kitploit:~

  https://example.com|admin|[email protected]|reset_link_sent_to_attacker_email
  

• A saída do console mostra o progresso em tempo real:

  • Versão do Kirki detectada
  • Nome de usuário utilizado
  • Nonces encontrados (agrupados por URL de origem)
  • Status do teste (VALID / FAILED) para cada nonce

Como Funciona

1. Detecção do plugin – solicita /wp-content/plugins/{kirki,kirki-test}/readme.txt (Stable tag) e /.../kirki.min.css (parâmetro ver). Se a versão for ≤ 6.0.6, prossegue.
2. Extração de nome de usuário – tenta /wp-json/wp/v2/users; se estiver vazio, recorre a admin.
3. Coleta de nonces – visita mais de 12 URLs (raiz, login, páginas de esqueci minha senha, etc.) e extrai strings semelhantes a nonces (8+ caracteres hexadecimais) usando vários padrões de regex.
4. Tentativa de exploração – para cada nonce, envia uma solicitação POST ao endpoint vulnerável com:
   • username = nome de usuário alvo
   • email = e-mail do atacante
   • emailBody = JSON que inclui o chip reset_link
5. Sucesso – se o servidor responder com 200 e "Email sent", o alvo é gravado em .

Notas Importantes

• O link de redefinição é enviado para o e-mail do atacante; você deve ter acesso a essa caixa de entrada.
• Apenas alvos válidos (exploráveis) são salvos – sem falsos positivos.
• Use com responsabilidade e somente em sistemas que você possui ou para os quais tenha permissão explícita de teste.

Aviso Legal

Este software é fornecido apenas para fins educacionais e de teste de segurança autorizado. O uso não autorizado contra sistemas que você não possui ou para os quais não tem permissão de teste é ilegal. O autor não é responsável por qualquer uso indevido ou dano causado por esta ferramenta.

Você pode ver mais avisos legais na página de Jenderal92. Confira AQUI !!!

Referências

• CVE-2026-8206 (quando publicado)
• Changelog do plugin Kirki