xss2shell-check

Неразрушающий детектор без зависимостей для примитива отражения CVE-2026-64638 ("XSS2Shell") в WordPress wp-login.php.

Предыстория

CVE-2026-64638 — это пред-аутентификационная отражённая XSS-уязвимость в ядре WordPress, раскрытая PWN.AI 2026-08-07 (CVSS 8.9, CWE-79) и исправленная в версии 7.0.3 с бэкпортами во все поддерживаемые ветки (6.9.6, 6.8.7, 6.7.6, 6.6.6, 6.5.9, …).

Корневая причина — расхождение парсеров между PHP-функцией strip_tags() и санитайзером KSES в WordPress:

• strip_tags() отказывается распознавать тег, если после < идёт пробел, поэтому имя пользователя вида < area id=x> сохраняется как обычный текст.
• В KSES такого правила нет, и он заново разбирает текст в живой элемент <area id="x"> внутри сообщения об ошибке входа.

Это даёт управляемую атакующим DOM-инъекцию с выбираемыми атрибутами id/class/href — примитив, лежащий в основе опубликованной многоступенчатой цепочки (DOM clobbering → REST JSONP → кража паролей приложений → загрузка плагина → RCE против вошедшего в систему администратора-жертвы).

Что делает этот инструмент

Два неразрушающих зонда (неудачная попытка входа со случайным маркерным именем пользователя):

1. RAW_HTML — <b>marker</b> появляется в ответе об ошибке без экранирования.
2. AREA_BYPASS — < area id=marker> переживает strip_tags() и снова появляется как живой/нормализованный элемент (например, area id="marker") в ответе.

Никакая полезная нагрузка не выполняется; инструмент лишь определяет, отображается ли HTML атакующего как живой DOM. Дополнительные опции:

• --version — определяет версию ядра по тегу <generator> в фиде.
• --jsonp — проверяет доступность REST JSONP-обёртки (_jsonp/_envelope), используемой опубликованной цепочкой.

Использование

python3 xss2shell_check.py https://example.com
python3 xss2shell_check.py --jsonp --verbose https://example.com
python3 xss2shell_check.py --version https://example.com
python3 xss2shell_check.py --json https://example.com

Python 3.6+, только стандартная библиотека. Без зависимостей.

Коды выхода

Матрица обнаружения

Примечания по обнаружению

• Уязвимая сигнатура — это нормализованный элемент (<area id="…">). Оформление кавычек в атрибутах зависит от поколения KSES (старый кастомный парсер: <area id=x>; DOMDocument: <area id="x"> / <area id="x" />), поэтому сопоставляются все формы. Сырой проход < area …> без повторного разбора — это инертный текст в браузере, а не примитив; он сообщается как RAW_TEXT_ONLY и не вызывает ложного срабатывания.
• Метка версии носит только справочный характер: исправляющие бэкпорты (6.9.6, 6.8.7, 6.7.6, 6.6.6, 6.5.9, 4.7.34, …) попадают внутрь серии 4.7.0–7.0.2 и учитываются для каждой ветки; проверка отражения остаётся определяющей.
• Запросы: 1 GET (страница входа — также захватывает WAF/sticky-куки и фактический URL после редиректов) + 2 POST с уникальными случайными маркерами. POST-редиректы повторно отправляются как POST. Блокировки WAF проявляются как код выхода 2, а не как молчаливое «не уязвим».
• Ложноотрицательный результат возможен, если кастомный фильтр login_errors или CDN/WAF переписывают ответы, либо сообщение об ошибке входа никогда не отражает имя пользователя.

Дисклеймер

Только авторизованное тестирование безопасности. Этот инструмент предназначен исключительно для тестирования систем, которыми вы владеете или на оценку которых имеете явное письменное разрешение. Неавторизованное тестирование незаконно в большинстве юрисдикций.

Источники

• Criminal IP — Уязвимость WordPress CVE-2026-64638: от XSS на странице входа до выполнения кода на стороне сервера
• CUHK ITS — Пред-аутентификационная XSS-уязвимость WordPress «XSS2Shell» (CVE-2026-64638)

Лицензия

MIT