CVE-2026-8732 — WP Maps Pro 未授权创建管理员账户

English | Türkçe

中文

概述

CVE-2026-8732 是 WP Maps Pro (wp-google-map-gold) WordPress 插件（版本 <= 6.1.0）中的一个严重漏洞（CVSS 9.8）。 未认证的攻击者可以通过滥用 wpgmp_temp_access_ajax AJAX 操作来创建 WordPress 管理员账户。保护该端点的 nonce 被公开嵌入在前端页面中，使其无法作为有效的访问控制机制。

作者： fientix & quake

功能特性

• 单目标 URL 扫描或通过列表（-l）进行批量多目标扫描。
• 多线程执行（-t）。
• 自动保存存在漏洞的管理员凭据（-o）。
• 自定义请求超时时间（--timeout）。
• 详细的控制台日志输出（-v）。

使用方法

# 单目标扫描
python CVE-2026-8732.py -u https://example.com -v

# 多目标批量扫描并保存结果
python CVE-2026-8732.py -l targets.txt -t 20 -o success.txt

# 自定义超时时间（秒）
python CVE-2026-8732.py -l targets.txt --timeout 15

Türkçe

Genel Bakış

CVE-2026-8732, WP Maps Pro (wp-google-map-gold) WordPress eklentisinin <= 6.1.0 sürümlerinde bulunan kritik düzeyde (CVSS 9.8) bir zafiyettir. Yetkisiz saldırganlar, wpgmp_temp_access_ajax AJAX eylemini kötüye kullanarak yetkisiz şekilde yönetici (admin) hesabı oluşturabilirler. İsteği koruması gereken nonce değeri ön yüzde herkese açık olarak yayınlandığından erişim kontrolü işlevini yitirmektedir.

Yazarlar: fientix & quake

Özellikler

• Tek hedef URL taraması veya liste üzerinden toplu tarama (-l).
• Çoklu iş parçacığı (multi-threading) desteği (-t).
• Başarılı yönetici hesaplarını dosyaya kaydetme (-o).
• İsteğe bağlı zaman aşımı süresi ayarlama (--timeout).
• Detaylı konsol çıktısı (-v).

Kullanım

# Tek Hedef Taraması
python CVE-2026-8732.py -u https://example.com -v

# Çoklu Hedef Taraması ve Sonuçları Kaydetme
python CVE-2026-8732.py -l targets.txt -t 20 -o success.txt


# Özel Zaman Aşımı Süresi (Saniye)
python CVE-2026-8732.py -l targets.txt --timeout 15

"感谢您对这个项目的支持，@Quake-py"