🌀 CVE‑2026‑64638 – Suíte de Segurança WordPress XSS2Shell

⚠️ APENAS USO ÉTICO – TESTE DE SEGURANÇA AUTORIZADO
Este repositório fornece ferramentas exclusivamente para profissionais de segurança autorizados, blue teams e pentesters.
O acesso não autorizado a sistemas informáticos é ilegal ao abrigo da CFAA (EUA), Computer Misuse Act (Reino Unido), TCK 243/244 (Turquia) e leis semelhantes em todo o mundo.

📖 Visão Geral da Vulnerabilidade

CVE‑2026‑64638 é uma vulnerabilidade crítica de XSS refletido pré-autenticação nas versões 4.7.0 a 7.0.2 do WordPress que permite a um atacante escalar um ataque de XSS para execução remota de código (RCE) total através do recurso Application Password.

Como funciona

1. Parser Differential – o strip_tags() do PHP e o wp_kses_post() do WordPress analisam tags HTML de forma diferente, permitindo que entrada maliciosa ultrapasse a sanitização.
2. XSS Refletido – um atacante injeta um payload especialmente criado no formulário de login (wp-login.php). Quando o login falha, o payload é refletido de volta e executado no navegador da vítima.
3. Abuso da Application Password – o JavaScript injetado gera automaticamente uma Application Password através da REST API do WordPress, exfiltrando-a para o atacante.
4. Upload de Plugin (RCE) – usando a Application Password capturada, o atacante autentica-se no painel administrativo e envia um plugin malicioso contendo uma webshell.
5. Comprometimento Total do Sistema – a webshell permite a execução de comandos no sistema, possibilitando reverse shells, persistência, movimento lateral e tomada total do servidor.

Versões Afetadas

• WordPress 4.7.0 – 7.0.2 – vulnerável
• WordPress 7.0.3 e posteriores – corrigida
• Atualizações de segurança foram retroportadas para todos os ramos mantidos

Correção

• Atualize para o WordPress 7.0.3 ou mais recente.
• Se não for possível atualizar, desative o recurso Application Password como solução temporária.

🧰 Ferramentas

📊 Comparação de Recursos

🎯 Resumo de Casos de Uso

⚙️ Instalação

git clone https://github.com/tc4dy/CVE-2026-64638-PoC-Exploit
cd CVE-2026-64638-PoC-Exploit
pip install -r requirements.txt

requirements.txt

requests
urllib3
#ops
pymysql
mysql-connector-python
PySocks
requests[socks]

📋 Parâmetros

Parâmetros do exploit.py

Parâmetros do safecheck.py

💥 Cenários

📊 Comandos do Shell Interativo

🧪 Utilização de Endpoints e API

🛡️ Utilização Responsável

• Utilize estas ferramentas apenas em sistemas que possui ou para os quais tem autorização escrita explícita para testar.
• O acesso não autorizado é ilegal e antiético.
• Os autores não são responsáveis por qualquer utilização indevida.
• Siga sempre as leis e regulamentos do seu país.

Este software é fornecido apenas para fins educacionais e testes de segurança autorizados.

Conformidade Legal