CVE-2026-3844

root@kitploit:~

╔════════════════════════════════════════════════════════════╗
║ CVE-2026-3844                                             ║
║ Breeze Cache <= 2.4.4 Arbitrary File Upload               ║
║ Unauthenticated RCE | Authorized Lab Use Only              ║
╚════════════════════════════════════════════════════════════╝

Обзор

CVE-2026-3844 — это уязвимость произвольной загрузки файлов, затрагивающая уязвимые версии плагина Breeze Cache для WordPress. Когда включено локальное хранение Gravatar, Breeze может получать URL-адреса аватаров и сохранять загруженный файл в доступный через веб каталог кэша без достаточной проверки типа файла.

Как это работает

Attacker-controlled avatar URL
        |
        v
WordPress renders an avatar
        |
        v
Breeze Gravatar local-cache handler
        |
        v
download_url() fetches the remote file
        |
        v
File is saved under wp-content/cache/breeze-extra/gravatars/
        |
        v
Web-accessible uploaded file

Уязвимое поведение находится в процессе кэширования Gravatar в Breeze:

• URL аватара src принимается обработчиком Gravatar в Breeze.
• Удалённый файл загружается через download_url() WordPress.
• Имя сохраняемого файла формируется из пути удалённого URL.
• Уязвимые версии недостаточно блокируют опасные расширения и не проверяют MIME-тип.
• В результате файл может оказаться в общедоступном пути кэша.

Соответствующая уязвимая область:

inc/class-breeze-cache-cronjobs.php
fetch_gravatar_from_remote()

Требования

Требования к цели:

• Сайт WordPress, использующий Breeze Cache <= 2.4.4.
• Плагин Breeze активен.
• Включена опция Host Files Locally - Gravatars.
• Сайт отображает аватары хотя бы на одной доступной странице или конечной точке.

Примечания для локальной лаборатории:

• На локальном хосте этот PoC может использовать прямой путь записи в локальный кэш, когда каталог WordPress определён.
• Для удалённого авторизованного тестирования скрипт пытается вызвать уязвимое поведение кэширования Gravatar с помощью обычных HTTP-запросов.

Установка

git clone https://github.com/AnggaTechI/CVE-2026-3844.git
cd CVE-2026-3844
python3 --version

Сторонние пакеты Python не требуются. Скрипт использует только модули стандартной библиотеки Python.

Использование

Запуск инструмента:

python3 exploit.py

Пример с одной целью:

[*] Target URL or file: http://localhost/lab-wp

Пример со списком целей:

[*] Target URL or file: targets.txt
[*] Threads (default 30): 30
[*] Auto-inject on vulnerable? [y/N]: n

Пример вывода:

[+] Loaded 1 target(s)
[+] Scanning 1 targets with 30 threads

[+] [1/1] localhost/lab-wp -> v2.4.4 gravatar=ON
[+] VULNERABLE: 1/1
[+] Saved: result.txt

Режимы

Обнаружение

Скрипт проверяет, является ли цель сайтом WordPress, читает метаданные плагина Breeze и сравнивает обнаруженную версию с уязвимым диапазоном.

Статус Gravatar

Скрипт пытается определить, включено ли локальное хранение Gravatar, проверяя ссылки на кэш breeze-extra/gravatars плагина Breeze.

Авторизованный тест с полезной нагрузкой

Когда автовнедрение включено, скрипт пытается проверить возможность эксплуатации, разворачивая сгенерированную тестовую полезную нагрузку и проверяя наличие её маркера.

Для локальных лабораторий скрипт может использовать прямой доступ к файловой системе, если ему удаётся определить корневой каталог WordPress. Для удалённых авторизованных тестов он запускает временный сервер полезной нагрузки и пытается активировать процесс кэширования Gravatar в Breeze.

Ожидаемые пути к кэшу

В зависимости от конфигурации WordPress кэшированные файлы могут появляться в одном из следующих видов:

/wp-content/cache/breeze-extra/gravatars/<filename>
/wp-content/cache/breeze-extra/gravatars/1/<filename>

Первый путь распространён в обычных одиночных установках WordPress. Второй может появляться, когда включён идентификатор блога/сайта.

Контрольный список для лаборатории

Используйте этот контрольный список при тестировании в локальной лаборатории WordPress:

• Установлен Breeze Cache 2.4.4.
• Плагин Breeze Cache активен.
• Включена опция Host Files Locally - Gravatars.
• Доступна хотя бы одна страница, отображающая аватары.
• Каталог кэша существует по пути wp-content/cache/breeze-extra/gravatars/.
• Apache/PHP может отдавать файлы из каталога WordPress wp-content.

Устранение неполадок

gravatar=OFF

Плагин может быть активен, но Breeze ещё не создал локальные файлы кэша Gravatar. Откройте страницу, отображающую аватары, или вызовите путь рендеринга аватаров WordPress в лаборатории.

not vulnerable

Распространённые причины: исправленная версия Breeze, Breeze не установлен, WordPress не обнаружен по указанному URL или в пути цели отсутствует подкаталог, например /lab-wp.

Injection failed

Настройка Gravatar может быть отключена, сайт может не отображать аватары публично, путь к кэшу может быть недоступен для записи, или удалённый URL полезной нагрузки может быть недоступен с сервера WordPress.

Ответственное использование

Этот репозиторий предназначен для обучения, воспроизведения в локальной лаборатории и авторизованного тестирования безопасности. Не запускайте его против систем, которыми вы не владеете или на тестирование которых у вас нет явного разрешения.

Ссылки

• NVD: CVE-2026-3844
• Консультация Wordfence
• Набор изменений Trac плагина WordPress