CVE-2026-4106：WordPress HT Mega 未认证 PII 泄露漏洞利用工具

一个针对 CVE-2026-4106 的功能强大的多线程概念验证（PoC）漏洞利用工具，目标为 WordPress 的 HT Mega - Absolute Addons for Elementor 插件（版本 < 3.0.7）。

漏洞概述

HT Mega 插件注册了多个 wp_ajax_nopriv_ 钩子（例如 wcsales_purchased_products、htmega_user_list_ajax），用于为其组件获取动态内容。然而，它未能实施正确的授权（current_user_can）或身份验证（check_ajax_referer）检查。

这使得未认证的远程攻击者能够发送精心构造的 AJAX 请求，直接从 WordPress 数据库中提取高度敏感的个人身份信息（PII），包括：

• 客户姓名（名/姓）
• 账单地址（城市、国家、州/省）
• 购买的商品及价格
• 用户列表与联系表单提交内容

功能特性

• 高速批量扫描器： 多线程引擎，能够并发扫描数千个目标。
• WAF 绕过机制： 自动 IP 伪造（X-Forwarded-For）和随机 User-Agent 轮换，以绕过标准 Web 应用防火墙。
• 双输出日志记录： 自动将数据提取到机器可读的 exploited_PII.json 和简洁、易于 grep 的 exploited_summary.txt 中。
• 旧版 SSL 支持： 内置 SSL/TLS 降级适配器，可防止旧版目标服务器上出现握手错误（修复 TLSV1_ALERT_INTERNAL_ERROR）。
• 误报过滤： 自动忽略停放域名、暂停页面（例如 Bluehost）以及非 JSON 的 HTML 响应。

安装

克隆仓库并安装所需依赖：

git clone https://github.com/ef3tr/CVE-2026-4106.git
cd CVE-2026-4106
pip install -r requirements.txt

使用方法

你可以通过两种模式运行该漏洞利用工具：单目标模式或批量扫描模式。

python exploit.py

示例输出（exploited_summary.txt）：

[+] Target: https://example.com | Action: wcsales_purchased_products | Date: 2026-04-11 08:30:15
    -> Buyer: John Doe | Location: Berlin/Deutschland | Item: Premium Package | Price: €375 | URL: https://example.com/product/premium/
    -> Buyer: Jane Smith | Location: London/UK | Item: Basic Package | Price: €150 | URL: https://example.com/product/basic/

免责声明

本工具仅用于教育目的和符合道德的网络安全研究。作者不对因使用本程序而造成的任何滥用或损害负责。请仅在你拥有或已获得明确测试许可的系统上使用本软件。

参考链接

WPScan

CVE-2026-4106