EXPLOIT-CVE-2026-8832

一个用于测试 WordPress 插件 WPCode Lite (Insert Headers and Footers) v2.3.5 中 远程代码执行 (RCE) 漏洞的利用工具。该漏洞源于注册自定义文章类型 (CPT) wpcode 时未定义自定义的 capability_type。这一疏忽允许任何拥有 作者 (Author) 角色（或更高角色）的用户通过 XML-RPC 在服务器上执行任意 PHP 代码。

致谢：基于 t.me/Fanatix_Legion 的漏洞分析创建。

⚠️ 免责声明

仅限授权的安全测试。 未经授权对此工具进行任何操作，对您不拥有的系统进行测试是 违法的。请仅在您获得明确书面许可进行渗透测试的系统上使用此工具。作者不承担任何责任，也不对因使用本程序而造成的任何滥用或损害负责。

🚀 功能特性

• 自动化利用：从指纹识别到代码执行，分 6 个自动化步骤完成完整利用链。
• XML-RPC 绕过：通过 XML-RPC 的 wp.newPost 接口绕过插件 UI 的管理权限限制。
• 纯 PHP Payloads：所有内置 Payload 均使用纯 PHP 原生函数设计，专门用于 绕过 disable_functions 限制（常见于共享主机环境如 CloudLinux，这些环境会屏蔽 shell_exec 和 system 等函数）。
• 基于 Web 的交互式 Shell：包含一个 Web-GUI Payload 选项，可方便地在浏览器中导航并执行 PHP 命令。
• 自动清理：安全地从数据库中删除测试片段和触发器文章，完成后自动清理。

📦 环境要求

• Python 3.6+
• requests 库

pip install requests

🛠️ 使用方法

在终端/命令提示符中运行脚本：

python wpcode_rce_tester.py

工具将交互式提示您输入以下内容：

1. WordPress URL：目标 URL（例如 http://localhost）。
2. 用户名：至少具有 作者 权限的用户账户用户名。
3. 密码：该账户的密码。
4. Payload：您希望执行的 Payload 选项（选择 1-8）。

可用 Payloads

1. 系统信息：显示当前用户（get_current_user）和操作系统信息（php_uname）。
2. 通过 GET 的交互式 PHP Shell：通过 ?cmd= 参数将控制台输入作为 PHP 代码执行。
3. PHP 信息：执行 phpinfo()。
4. WordPress 配置读取器：读取内部 WordPress 常量，例如数据库凭据。
5. 文件列表：使用原生 scandir() 递归列出 DOCUMENT_ROOT 中的文件和文件夹。
6. 基于 Web 的交互式 PHP Shell：创建一个简单的 HTML POST 表单，可在浏览器中交互式输入并执行 PHP 代码，在操作系统级别执行被阻止时非常有效。
7. 概念验证：仅输出 "RCE VERIFIED"，不读取敏感数据或对系统造成损害。
8. 自定义 Payload：输入您自己的原始 PHP 代码进行执行。

🛡️ 修复建议

要保护您的 WordPress 站点：

1. 立即将 WPCode Lite 插件更新到最新版本。
2. 如果无法更新，且未使用 XML-RPC，请完全禁用它。在插件或 mu-plugins 中添加以下内容：
   root@kitploit:~

   add_filter('xmlrpc_enabled', '__return_false');