ЭКСПЛУАТАЦИЯ CVE-2026-8832

Инструмент эксплуатации для тестирования уязвимости удалённого выполнения кода (RCE) в плагине WordPress WPCode Lite (Insert Headers and Footers) v2.3.5. Эта уязвимость возникает из-за регистрации пользовательского типа записи (CPT) wpcode без определения собственного capability_type. Такая оплошность позволяет любому пользователю с ролью Автор (или выше) выполнять произвольный PHP-код на сервере через XML-RPC.

Кредит: Создано на основе анализа уязвимости от t.me/Fanatix_Legion.

---

⚠️ Предупреждение

ТОЛЬКО ДЛЯ АВТОРИЗОВАННОГО ТЕСТИРОВАНИЯ БЕЗОПАСНОСТИ. Несанкционированное использование этого инструмента против систем, которые вам не принадлежат, является НЕЗАКОННЫМ. Используйте его строго на системах, на которые у вас есть явное письменное разрешение на проведение пентеста. Автор не несёт ответственности за любое неправомерное использование или ущерб, вызванный этой программой.

---

🚀 Возможности

• Автоматизированная эксплуатация: Выполняет полную цепочку эксплуатации от идентификации до выполнения кода за 6 автоматических шагов.
• Обход XML-RPC: Использует конечную точку wp.newPost через XML-RPC для обхода административных защит интерфейса плагина.
• Чистые PHP-полезные нагрузки: Все встроенные полезные нагрузки разработаны с использованием чистых встроенных функций PHP. Это специально сделано для обхода ограничений disable_functions, часто встречающихся в окружениях общего хостинга (например, CloudLinux), которые блокируют такие функции, как shell_exec и system.
• Веб-интерактивная оболочка: Включает опцию полезной нагрузки с веб-графическим интерфейсом для удобной навигации и выполнения PHP-команд из браузера.
• Автоматическая очистка: Безопасно очищает базу данных, удаляя тестовые сниппеты и триггерные записи после выполнения.

📦 Требования

• Python 3.6+
• Библиотека requests

pip install requests

🛠️ Использование

Запустите скрипт из терминала/командной строки:

python wpcode_rce_tester.py

Инструмент в интерактивном режиме запросит следующее:

1. URL WordPress: Целевой URL (например, http://localhost).
2. Имя пользователя: Имя учётной записи с правами не ниже Автора.
3. Пароль: Пароль от учётной записи.
4. Полезная нагрузка: Выбор полезной нагрузки для выполнения (выберите 1-8).

Доступные полезные нагрузки

1. Информация о системе: Отображает текущего пользователя (get_current_user) и информацию об ОС (php_uname).
2. Интерактивная PHP-оболочка через GET: Выполняет введённый в консоли код как PHP-код (через параметр ?cmd=).
3. PHP Info: Выполняет phpinfo().
4. Чтение конфигурации WordPress: Читает внутренние константы WordPress, такие как учётные данные базы данных.
5. Список файлов: Рекурсивно выводит список файлов и папок в DOCUMENT_ROOT с помощью встроенной функции scandir().
6. Веб-интерактивная PHP-оболочка: Создаёт простую HTML-форму POST для ввода и выполнения PHP-кода в браузере; эффективна, когда выполнение на уровне ОС заблокировано.
7. Подтверждение концепции: Просто выводит "RCE VERIFIED" без чтения конфиденциальных данных или нанесения вреда системе.
8. Пользовательская полезная нагрузка: Введите свой собственный сырой PHP-код для выполнения.

🛡️ Исправление

Для защиты вашего сайта WordPress:

1. Немедленно обновите плагин WPCode Lite до последней версии.
2. Если обновление невозможно, полностью отключите XML-RPC, если он не используется, добавив следующий код в плагин или mu-plugins:

   add_filter('xmlrpc_enabled', '__return_false');
   

---