CVE-2026-8206 - Массовый эксплойт для плагина Kirki WordPress

Инструмент массового эксплойта для CVE-2026-8206 – критической уязвимости в плагине Kirki для WordPress (версии ≤ 6.0.6), которая позволяет неавторизованным атакующим перехватывать ссылки сброса пароля и получать полный контроль над любой учётной записью, включая администраторов.

Обзор уязвимости

Плагин Kirki предоставляет неавторизованную REST-конечную точку (/wp-json/KirkiComponentLibrary/v1/kirki-forgot-password). Из-за отсутствия проверок прав доступа и некорректной проверки email атакующий может:

• Запросить сброс пароля для любого существующего имени пользователя
• Указать произвольный email-адрес (например, свой собственный) для получения ссылки сброса
• Получить полный контроль над целевой учётной записью

Затронутые версии: ≤ 6.0.6
Исправленная версия: 6.0.7

Возможности

• Многопоточность – быстрое сканирование сотен целей
• Автоматическое определение плагина – проверяет readme.txt и kirki.min.css (поддерживает папки kirki и kirki-test)
• Умное извлечение nonce – находит nonce из 12+ распространённых путей (главная страница, login, lostpassword и т. д.) с помощью 10+ регулярных выражений
• Перечисление имён пользователей – получает реальные имена пользователей из /wp-json/wp/v2/users (в крайнем случае использует admin)

Требования

• Python 2.7
• Библиотека requests
• concurrent.futures (бэкпорт, обычно уже установлен)

Установка зависимостей:

pip install requests futures

Установка

git clone https://github.com/Jenderal92/CVE-2026-8206.git
cd CVE-2026-8206

Отредактируйте скрипт, указав свой email атакующего:

ATTACKER_EMAIL = "[email protected]"   # строка ~15

Использование

python CVE-2026-8206.py <targets_file> [threads]

• <targets_file> – текстовый файл с одним доменом на строку (с http:///https:// или без них)
• [threads] – необязательный параметр, количество одновременных потоков (по умолчанию: 15)

Пример

python CVE-2026-8206.py targets.txt 20

Пример входного файла (targets.txt)

example.com
https://vulnerable-site.com
http://127.0.0.1/wordpress

Вывод

• res.txt – содержит успешно эксплуатируемые цели в формате:

  root@kitploit:~

  URL|username|attacker_email|reset_link_sent_to_attacker_email
  

  Пример:

  root@kitploit:~

  https://example.com|admin|[email protected]|reset_link_sent_to_attacker_email
  

• Вывод в консоль показывает ход выполнения в реальном времени:

  • Обнаруженная версия Kirki
  • Используемое имя пользователя
  • Найденные nonce (сгруппированы по URL-источнику)
  • Статус проверки (VALID / FAILED) для каждого nonce

Принцип работы

1. Определение плагина – запросы к /wp-content/plugins/{kirki,kirki-test}/readme.txt (Stable tag) и /.../kirki.min.css (параметр ver). Если версия ≤ 6.0.6, продолжение.
2. Извлечение имени пользователя – попытка запроса к /wp-json/wp/v2/users; если результат пуст, используется admin.
3. Сбор nonce – посещение 12+ URL (главная страница, login, страницы восстановления пароля и т. д.) и извлечение строк, похожих на nonce (8+ шестнадцатеричных символов), с помощью нескольких регулярных выражений.
4. Попытка эксплойта – для каждого nonce отправляется POST-запрос к уязвимой конечной точке с:
   • username = имя целевого пользователя
   • email = email атакующего
   • emailBody = JSON, содержащий чип reset_link
5. Успех – если сервер отвечает кодом 200 и сообщением "Email sent", цель записывается в res.txt.

Важные замечания

• Ссылка сброса пароля отправляется на email атакующего; у вас должен быть доступ к этому почтовому ящику.
• Сохраняются только валидные (эксплуатируемые) цели – без ложных срабатываний.
• Используйте ответственно и только на системах, которыми вы владеете или на тестирование которых у вас есть явное разрешение.

Отказ от ответственности

Данное программное обеспечение предоставляется только для образовательных целей и санкционированного тестирования безопасности. Несанкционированное использование против систем, которыми вы не владеете или на тестирование которых у вас нет разрешения, является незаконным. Автор не несёт ответственности за любое неправомерное использование или ущерб, причинённый этим инструментом.

Более подробный отказ от ответственности можно найти на обложке Jenderal92. Вы можете ознакомиться с ним ЗДЕСЬ !!!

Ссылки

• CVE-2026-8206 (когда будет опубликована)
• Журнал изменений плагина Kirki