## https://sploitus.com/exploit?id=2F9CB88F-45B0-53EF-953B-2455889C1EB2
# XSS2Shell — PoC de CVE-2026-64638
> Proof of Concept educativa de la cadena **XSS2Shell** (CVE-2026-64638),
> vulnerabilidad pre-autenticación XSS → RCE en WordPress Core descubierta
> de forma autónoma por **pwn.ai** y divulgada el 7 de agosto de 2026.
---
## Tabla de contenidos
1. [Resumen ejecutivo](#resumen-ejecutivo)
2. [Aviso legal](#aviso-legal)
3. [Arquitectura de la cadena](#arquitectura-de-la-cadena)
4. [Requisitos](#requisitos)
5. [Estructura del repositorio](#estructura-del-repositorio)
6. [Guía rápida de uso](#guía-rápida-de-uso)
7. [Verificación de la explotación](#verificación-de-la-explotación)
8. [Documentación adicional](#documentación-adicional)
---
## Resumen ejecutivo
**CVE-2026-64638** es una vulnerabilidad de tipo *cross-site scripting* (XSS)
reflejado, pre-autenticación, en la pantalla de inicio de sesión de WordPress
(`wp-login.php`). Afecta a **todas las versiones** de WordPress bajo
mantenimiento anteriores a la 7.0.3, publicada el 6 de agosto de 2026 como
*security release* de emergencia. Se le asignó un CVSS v4.0 de **8.9**.
La cadena bautizada **XSS2Shell** demuestra cómo, partiendo únicamente de un
intento de *login* fallido con un *username* manipulado, un atacante puede:
1. Inyectar elementos DOM vivos en la página de *login* aprovechando una
discrepancia entre dos analizadores sintácticos de PHP (`strip_tags`) y de
WordPress (`wp_kses_post`).
2. Secuestrar el flujo de ejecución del JavaScript propio de WordPress
(`user-profile.js`) para realizar una petición REST JSONP al propio origen.
3. Convertir la respuesta JSONP en ejecución de JavaScript en el origen de
WordPress mediante `jQuery.globalEval()`.
4. Encadenar todo ello con la técnica *Same Origin Method Execution* (SOME) de
Paulos Yibelo (2022) para hacer *click* automáticamente en el botón de
aprobación de *Application Passwords* dentro de la sesión autenticada de un
administrador.
5. Capturar la credencial *Application Password* resultante, publicar una
página con JavaScript malicioso y, finalmente, subir un *plugin* en formato
ZIP que ejecuta PHP en el servidor.
El resultado es **ejecución remota de código** (RCE) en el servidor WordPress,
bajo el usuario del proceso *web* (típicamente `www-data`), partiendo de un
único *click* del administrador sobre un enlace controlado por el atacante.
---
## Aviso legal
Este repositorio contiene material estrictamente **educativo y defensivo**.
- **Propósito:** demostrar la cadena de explotación con fines de formación,
auditoría propia y validación de *patches*.
- **Uso autorizado:** ejecútalo **únicamente** contra instalaciones de
WordPress que te pertenezcan o sobre las que dispongas de autorización
escrita explícita.
- **Prohibido:** cualquier uso contra sistemas de terceros sin consentimiento.
El autor del repositorio no se responsabiliza del uso indebido del material
aquí incluido.
- **Responsabilidad:** el operador es el único responsable del cumplimiento de
la legislación aplicable (LOPD/RGPD en España, CFAA en EE. UU., etc.).
La PoC se entrega con un entorno Docker autocontenido cuya única finalidad es
servir como blanco local y reproducible.
---
## Arquitectura de la cadena
```
┌─────────────────────────────────────────────────────────────────────┐
│ 1. XSS pre-auth en wp-login.php │
│ log= │
│ (discrepancia strip_tags ↔ wp_kses_post) │
└──────────────────────────────────────────┬──────────────────────────┘
│
▼
┌─────────────────────────────────────────────────────────────────────┐
│ 2. user-profile.js dispara .trigger('click') │
│ DOM clobbering de ajaxurl → petición POST al origen │
└──────────────────────────────────────────┬──────────────────────────┘
│
▼
┌─────────────────────────────────────────────────────────────────────┐
│ 3. REST JSONP responde application/javascript │
│ jQuery.globalEval() ejecuta el callback en el origen WP │
└──────────────────────────────────────────┬──────────────────────────┘
│ callback = window.opener
│ .approve.click
▼
┌─────────────────────────────────────────────────────────────────────┐
│ 4. SOME: click() cruza la frontera opener→admin │
│ authorize-application.php#approve se pulsa en sesión admin │
└──────────────────────────────────────────┬──────────────────────────┘
│
▼
┌─────────────────────────────────────────────────────────────────────┐
│ 5. WP crea Application Password → redirige a success_url │
│ El atacante captura user_login + password en callback.php │
└──────────────────────────────────────────┬──────────────────────────┘
│ HTTP Basic REST
▼
┌─────────────────────────────────────────────────────────────────────┐
│ 6. POST /wp-json/wp/v2/pages → publica página con │
│ El admin visita la página → JS en origen WP con sesión admin │
└──────────────────────────────────────────┬──────────────────────────┘
│
▼
┌─────────────────────────────────────────────────────────────────────┐
│ 7. fetch update.php?action=upload-plugin → sube payload.zip │
│ PHP del plugin es accesible directamente sin activarlo │
└──────────────────────────────────────────┬──────────────────────────┘
│
▼
┌─────────────────────────────────────────────────────────────────────┐
│ 8. RCE confirmada: GET /wp-content/plugins/payload/shell.php │
└─────────────────────────────────────────────────────────────────────┘
```
---
## Requisitos
La PoC está construida para ejecutarse en **macOS** o **Linux** con:
- **Docker** 24+ y **Docker Compose** v2 (para el blanco local).
- **Python** 3.9+ (para el orquestador opcional).
- **PHP** 8.1+ con extensión `zip` (para construir el *payload* manualmente,
opcional; el ZIP ya construido se incluye en `payload/`).
- Un navegador moderno basado en Chromium o Firefox.
No es necesario instalar WordPress manualmente: el `docker-compose.yml`
levanta un WordPress 7.0.2 vulnerable (la última versión anterior al parche)
junto con MariaDB.
---
## Estructura del repositorio
```
POC XSS2Shell (CVE-2026-64638)/
├── README.md ← Este archivo
├── docker-compose.yml ← Blanco: WordPress 7.0.2 + MariaDB
├── .env.example ← Variables de configuración
├── exploit.py ← Orquestador en Python (opcional)
├── attacker/ ← Infraestructura del atacante
│ ├── index.html ← Página cebo con la cadena SOME
│ ├── callback.php ← Receptor de la Application Password
│ └── server.py ← Servidor estático + PHP embebido
├── payload/ ← Plugin ZIP malicioso
│ ├── build_payload.py ← Generador del ZIP
│ ├── shell.php ← Webshell mínimo
│ └── payload.zip ← ZIP preconstruido (listo para usar)
└── docs/
├── ANALISIS.md ← Análisis técnico detallado
└── MITIGACION.md ← Guía de mitigación y hardening
```
---
## Guía rápida de uso
### 1. Levantar el blanco (WordPress 7.0.2 vulnerable)
```bash
cp .env.example .env
docker compose up -d
```
WordPress quedará accesible en . Sigue el asistente de
instalación y crea un usuario **administrador** (por ejemplo `admin` /
`admin-password`).
> El Dockerfile ancla la imagen a `wordpress:7.0.2-php8.2-apache`, que es la
> última versión anterior al parche 7.0.3.
### 2. Levantar la infraestructura del atacante
```bash
# En otro terminal, dentro de attacker/
python3 server.py
```
El servidor atacante escucha en y expone:
- `/` → `index.html` (la página cebo).
- `/callback.php` → receptor de la Application Password.
### 3. Simular el *click* del administrador
1. Inicia sesión como administrador en .
2. En la **misma sesión del navegador**, abre una nueva pestaña y visita
.
3. Verás un único botón «Approve Application». Al pulsarlo se ejecuta toda la
cadena de forma automática.
### 4. Observar la captura de credenciales
En el terminal donde corre `server.py` aparecerá una línea del tipo:
```
[+] Application Password recibida para el usuario 'admin':
XXXX XXXX XXXX XXXX XXXX XXXX
```
La credencial se guarda también en `attacker/captured_credentials.txt`.
### 5. Ver el RCE
Tras unos segundos, el orquestador de `index.html` habrá:
- Publicado una página que ejecuta JavaScript en el origen de WordPress.
- Subido el plugin `payload.zip` a `wp-content/plugins/payload/`.
Verifica la ejecución de código con:
```bash
curl -sI http://localhost:8080/wp-content/plugins/payload/shell.php
```
Una cabecera `Hacked: true` y un cuerpo JSON confirman el RCE.
---
## Verificación de la explotación
Una vez completada la cadena, los siguientes *endpoints* sirven de evidencia:
| Recurso | Evidencia esperada |
|----------------------------------------------------|---------------------------------------------|
| `GET /wp-content/plugins/payload/shell.php` | Cabecera `Hacked: true` + JSON `{"rce":true,"user":"www-data"}` |
| `attacker/captured_credentials.txt` | Application Password capturada |
| `wp-admin → Aplicaciones → Contraseñas de aplicación` | Una nueva entrada llamada «SomeApp» |
---
## Documentación adicional
- [`docs/ANALISIS.md`](docs/ANALISIS.md) — Análisis técnico detallado de cada
fase de la cadena, con referencias al código fuente de WordPress.
- [`docs/MITIGACION.md`](docs/MITIGACION.md) — Mitigaciones recomendadas,
*hardening* y verificación del *patch* 7.0.3.
---
## Créditos
- Investigación original y divulgación: **pwn.ai** —
- Técnica SOME subyacente: **Paulos Yibelo** (2022), publicada en el blog de
pwn.ai y nominada a *Top Web Hacking Techniques* de 2022.
- PoC y empaquetado de este repositorio: trabajo propio con fines educativos.
---
## Licencia
Distribuido bajo licencia MIT. Consulta el archivo `LICENSE` para más detalles.