CVE-2026-8206 - Kirki WordPress 插件批量利用工具

CVE-2026-8206 批量利用工具 – 针对 Kirki WordPress 插件（版本 ≤ 6.0.6）中的一个严重漏洞，允许未经身份验证的攻击者劫持密码重置链接并接管任何用户帐户，包括管理员。

漏洞概述

Kirki 插件暴露了一个未经身份验证的 REST 端点（/wp-json/KirkiComponentLibrary/v1/kirki-forgot-password）。由于缺少权限检查和不正确的电子邮件验证，攻击者可以：

• 为任何有效用户名请求密码重置
• 提供任意电子邮件地址（例如自己的）以接收重置链接
• 完全控制目标帐户

受影响版本： ≤ 6.0.6
已修复版本： 6.0.7

功能特性

• 多线程 – 快速扫描数百个目标
• 自动插件检测 – 检查 readme.txt 和 kirki.min.css（同时支持 kirki 和 kirki-test 文件夹）
• 智能 nonce 提取 – 从 12 个以上常见路径（根目录、登录页、丢失密码页等）中提取 nonce，使用 10 多个正则表达式模式
• 用户名枚举 – 从 /wp-json/wp/v2/users 获取真实用户名（回退为 admin）

环境要求

• Python 2.7
• requests 库
• concurrent.futures（反向移植，通常已安装）

安装依赖：

pip install requests futures

安装

git clone https://github.com/Jenderal92/CVE-2026-8206.git
cd CVE-2026-8206

编辑脚本，设置你的攻击者邮箱：

ATTACKER_EMAIL = "[email protected]"   # 第 ~15 行

使用方法

python CVE-2026-8206.py <targets_file> [threads]

• <targets_file> – 文本文件，每行一个域名（可带或不带 http:///https://）
• [threads] – 可选，并发线程数（默认：15）

示例

python CVE-2026-8206.py targets.txt 20

输入文件示例（targets.txt）

example.com
https://vulnerable-site.com
http://127.0.0.1/wordpress

输出

• res.txt – 包含成功利用的目标，格式如下：

  root@kitploit:~

  URL|username|attacker_email|reset_link_sent_to_attacker_email
  

  示例：

  root@kitploit:~

  https://example.com|admin|[email protected]|reset_link_sent_to_attacker_email
  

• 控制台输出显示实时进度：

  • 检测到的 Kirki 版本
  • 使用的用户名
  • 找到的 nonce（按来源 URL 分组）
  • 每个 nonce 的测试状态（VALID / FAILED）

工作原理

1. 插件检测 – 请求 /wp-content/plugins/{kirki,kirki-test}/readme.txt（Stable tag）和 /.../kirki.min.css（ver 参数）。如果版本 ≤ 6.0.6，则继续。
2. 用户名提取 – 尝试 /wp-json/wp/v2/users，如果为空则回退为 admin。
3. Nonce 收集 – 访问 12 个以上 URL（根目录、登录页、忘记密码页等），使用多个正则表达式模式提取类似 nonce 的字符串（8 位以上十六进制字符）。
4. 尝试利用 – 对于每个 nonce，向易受攻击的端点发送 POST 请求，包含：
   • username = 目标用户名
   • email = 攻击者的电子邮件
   • emailBody = JSON 格式，包含 reset_link 芯片
5. 成功 – 如果服务器响应 200 和 "Email sent"，则将目标写入 res.txt。

重要说明

• 重置链接会发送到攻击者的电子邮件；你必须有权访问该收件箱。
• 只保存有效（可被利用）的目标——无假阳性。
• 请负责任地使用，仅限你拥有或已获明确授权测试的系统。

免责声明

本软件仅供教育和授权安全测试目的使用。未经授权用于你不拥有或未获许可测试的系统是违法的。作者不对该工具的任何误用或造成的损害负责。

更多免责声明可在 Jenderal92 封面页查看。你可以点击 此处 查看。

参考链接

• CVE-2026-8206（发布后）
• Kirki 插件更新日志