CVE-2026-64638 — Proof of Concept для XSS2Shell

Инструмент proof-of-concept (PoC) для проверки CVE-2026-64638 — уязвимости отражённого межсайтового скриптинга (XSS), эксплуатируемой до аутентификации и затрагивающей установки WordPress (версии 6.4 – 7.0.2).

Обзор

Этот инструмент автоматизирует процесс фингерпринтинга, проверки и генерации PoC для CVE-2026-64638. Он безопасно подтверждает, уязвима ли целевая установка WordPress к отражённому XSS, эксплуатируемому до аутентификации, без развёртывания вредоносных полезных нагрузок. Если уязвимость цели подтверждена, инструмент может сгенерировать HTML PoC для авторизованного тестирования безопасности и включения в отчёты программ bug bounty.

Возможности

Фингерпринтинг версии: точное определение версии целевого WordPress с использованием нескольких эвристик.
Безопасная проверка: тестирование отражения полезной нагрузки и JSONP-эндпоинтов REST API для безопасного подтверждения эксплуатируемости.
Генерация артефактов: автоматическое создание HTML-файлов PoC, команд воспроизведения через curl и фрагментов отчёта.
Варианты полезной нагрузки: поддержка нескольких вариантов обхода (standard, envelope, waf) для проверки различных сценариев фильтрации.

Архитектура / Принцип работы

Фингерпринтинг: определение версии WordPress через теги generator, readme.html или параметры подключённых скриптов.
Проверка эндпоинтов: подтверждение доступности и работоспособности wp-login.php.
Проверка отражения полезной нагрузки: отправка специально сформированной полезной нагрузки в поле имени пользователя на wp-login.php и проверка того, сохраняются ли требуемые DOM-элементы (например, ajaxurl, color-picker) после санитизации в ответе.
Проверка JSONP-колбэка: тестирование функциональности JSONP REST API для проверки возможности выполнения JavaScript, что завершает цепочку.
Генерация отчёта: компиляция результатов в воспроизводимые артефакты.

Требования

Python 3.x
Поддерживаемые операционные системы: Linux, macOS, Windows
Зависимости: requests>=2.31.0, urllib3

Установка

Клонируйте репозиторий и установите необходимые зависимости:

git clone https://github.com/eh-amish/xss2shell-poc.git
cd xss2shell-poc
pip install -r requirements.txt

Конфигурация

Этот инструмент не требует переменных окружения или сложных файлов конфигурации. Все параметры передаются напрямую через аргументы командной строки.

Использование

Запустите инструмент с помощью Python 3 против авторизованной цели.

Базовая проверка уязвимости (без генерации PoC)

python3 xss2shell_poc.py -t https://target.com --check-only

Полная валидация и генерация PoC

python3 xss2shell_poc.py -t https://target.com

Продвинутые варианты

Если стандартная полезная нагрузка блокируется WAF или REST-эндпоинт возвращает HTTP 401, попробуйте альтернативные варианты:

python3 xss2shell_poc.py -t https://target.com --variant waf
python3 xss2shell_poc.py -t https://target.com --variant envelope

Пользовательское имя файла PoC

python3 xss2shell_poc.py -t https://target.com -o custom_poc.html

Структура проекта

.
├── .gitignore
├── CONTRIBUTING.md
├── LICENSE
├── README.md
├── SECURITY.md
├── requirements.txt
└── xss2shell_poc.py

Примеры

Пример вывода выполнения

Target  : https://target.com
Variant : standard
Mode    : Full PoC

[>] Phase 1 — WordPress Version Fingerprint
[+] WordPress 7.0.2 — VULNERABLE (6.4 – 7.0.2)

[>] Phase 2 — Confirm Login Page
[+] wp-login.php reachable (HTTP 200)

[>] Phase 3 — Testing XSS Payload (variant: standard)
[+] XSS PAYLOAD SURVIVED SANITIZATION!
[+] Injected DOM elements found in response: ['id="ajaxurl"', 'id="color-picker"']

[>] Phase 4 — REST API JSONP Callback Check
[+] REST JSONP callback works: https://target.com/?rest_route=/&_method=GET&_jsonp=testcb
[+] jQuery will evaluate response as script → XSS fires automatically

Безопасность

Этот репозиторий содержит инструменты тестирования, связанные с безопасностью. Пожалуйста, обратитесь к SECURITY.md для ознакомления с нашей политикой ответственного раскрытия и требованиями к авторизованному использованию.

Ограничения

Определение версии может не сработать, если целевая система реализовала надёжные меры «безопасности через сокрытие» для скрытия своей версии WordPress.
WAF могут блокировать проверку отражения полезной нагрузки, даже если базовое программное обеспечение уязвимо.

Участие в проекте

Мы приветствуем профессиональный вклад! Пожалуйста, ознакомьтесь с CONTRIBUTING.md, чтобы узнать подробности о нашем рабочем процессе, стандартах качества кода и правилах подачи материалов.

Лицензия

Этот проект распространяется под лицензией MIT.

Благодарности / Атрибуция

Логика уязвимости основана на публично доступных рекомендациях по безопасности, касающихся CVE-2026-64638.
Структура PoC-скрипта и полезные нагрузки были подготовлены участниками проекта в целях тестирования.

Отказ от ответственности

Предназначено только для авторизованного использования. Этот проект предоставляется строго для авторизованного тестирования на проникновение, исследований в области безопасности и программ bug bounty, в рамках которых владельцем системы предоставлено явное письменное разрешение. Не используйте этот инструмент против систем, которыми вы не владеете и на тестирование которых у вас нет разрешения. Авторы и участники не несут ответственности за любое неправомерное использование, ущерб или юридические последствия, возникшие в результате использования этого программного обеспечения.

CVE-2026-64638-XSS-to-Shell-PoC

Популярное