Jenderal92/CVE-2026-8206

# CVE-2026-8206 - Kirki WordPress 插件大规模利用 [](https://www.python.org/downloads/release/python-2718/) [](LICENSE) **CVE-2026-8206 大规模利用工具** – Kirki WordPress 插件（版本 ≤ 6.0.6）中的一个严重漏洞，允许未经身份验证的攻击者劫持密码重置链接并接管任何用户账户，包括管理员账户。 ## 漏洞概述 Kirki 插件暴露了一个未经身份验证的 REST 端点 (`/wp-json/KirkiComponentLibrary/v1/kirki-forgot-password`)。由于缺少权限检查和不正确的电子邮件验证，攻击者可以： - 为任何有效用户名请求密码重置 - 提供任意电子邮件地址（例如，他们自己的）以接收重置链接 - 完全控制目标账户 **受影响版本：** ≤ 6.0.6 **修复版本：** 6.0.7 ## 功能 - **多线程** – 快速扫描数百个目标 - **自动插件检测** – 检查 `readme.txt` 和 `kirki.min.css`（支持 `kirki` 和 `kirki-test` 文件夹） - **智能 nonce 提取** – 使用 10 多种正则表达式模式从 12 多个常见路径（根、登录、忘记密码等）中找到 nonce - **用户名枚举** – 从 `/wp-json/wp/v2/users` 获取真实用户名（如果为空，则回退到 `admin`） ## 要求 - Python 2.7 - `requests` 库 - `concurrent.futures`（回滚，通常已安装） 安装依赖项： ``` pip install requests futures ``` ## 安装 ``` git clone https://github.com/Jenderal92/CVE-2026-8206.git cd CVE-2026-8206 ``` 编辑脚本以设置攻击者电子邮件： ``` ATTACKER_EMAIL = "youremail@example.com" # line ~15 ``` ## 使用 ``` python CVE-2026-8206.py [threads] ``` - `` – 每行一个域名（带或不带 `http://`/`https://`）的文本文件 - `[threads]` – 可选，并发线程数（默认：15） ### 示例 ``` python CVE-2026-8206.py targets.txt 20 ``` ### 输入文件示例 (`targets.txt`) ``` example.com https://vulnerable-site.com http://127.0.0.1/wordpress ``` ## 输出 - `res.txt` – 包含成功利用的目标，格式如下： URL|username|attacker_email|reset_link_sent_to_attacker_email 示例： https://example.com|admin|attacker@example.com|reset_link_sent_to_attacker_email - 控制台输出显示实时进度： - 检测到的 Kirki 版本 - 使用的用户名 - 从源 URL 分组找到的 nonce（nonce-like 字符串） - 每个 nonce 的测试状态（VALID / FAILED） ## 工作原理 1. **插件检测** – 请求 `/wp-content/plugins/{kirki,kirki-test}/readme.txt`（稳定标签）和 `/.../kirki.min.css`（ver 参数）。如果版本 ≤ 6.0.6，则继续。 2. **用户名提取** – 尝试 `/wp-json/wp/v2/users`，如果为空则回退到 `admin`。 3. **nonce 收集** – 访问 12 多个 URL（根、登录、忘记密码页面等）并使用多个正则表达式模式提取任何类似 nonce 的字符串（8 多个十六进制字符）。 4. **利用尝试** – 对于每个 nonce，向有漏洞的端点发送 POST 请求，包括： - `username` = 目标用户名 - `email` = 攻击者的电子邮件 - `emailBody` = 包含 `reset_link` 片段的 JSON 5. **成功** – 如果服务器响应 `200` 和 `"Email sent"`，则将目标写入 `res.txt`。 ## 重要提示 - 重置链接将 **发送到攻击者的电子邮件**；您必须能够访问该邮箱。 - 仅 **有效的（可利用的）目标** 被保存 – 没有误报。 - 负责任地使用，并且仅在您拥有或明确获得测试权限的系统上使用。 ## 免责声明 本软件仅提供于 **教育和授权安全测试目的**。未经授权使用您不拥有或未获得测试权限的系统是非法的。作者不对由此工具引起的任何滥用或损害负责。 更多免责声明您可以在 Jenderal92 封面上看到免责声明。您可以在 [这里](https://github.com/Jenderal92/) 查看它。 ## 参考资料 - [CVE-2026-8206](https://nvd.nist.gov/vuln/detail/CVE-2026-8206)（发布时） - [Kirki 插件变更日志](https://wordpress.org/plugins/kirki/#developers)

标签：逆向工具