Сливаю годный вектор для WordPress (тестил на 6.5.3, но косяк живет с 5.0+). Нашел сайт с открытыми комментариями без капчи и санкции HTML-тегов. Через заранее подготовленный комментарий с инжектом:

<img src=x onerror="fetch('/wp-admin/admin-ajax.php?action=<legit_plugin>&_nonce=<?php echo wp_create_nonce(); ?>')">

1. Этап 1: XSS + CSRF
   — Ждем, когда админ зайдет в панель (логи детектятся через /wp-json/wp/v2/users/).
   — Подменяем его запрос на установку плагина (уязвимый action=install-plugin в AJAX).

2. Этап 2: RCE через плагин
   — Качаем кастомный ZIP с шеллом (маскируем под "сache-enabler.1.7.1") через уязвимость в wp_ajax_install_plugin.
   — Активируем через тот же CSRF — получаем /wp-content/plugins/malware/shell.php.

Проблемы:
— На новых WP стоит restrict_file_uploads, но он не проверяет MIME-тип в ZIP.
— Если админ не залогинен — XSS бесполезен (но можно спамить комментарии с соц-инженерией типа "Ваш пост украли!").

Вопросы:
— Кто знает плагины с уязвимым admin-ajax.php для эскалации?
— Как скрыть следы в логах /var/log/apache2/wp-admin/access.log?

PoC в личку (только для теста на своих стендах!).

Вариант для "серых" форумов:
[WP 0day] Comment Exploit Chain → RCE
`Обнаружил флоу: открытые комменты → XSS → CSRF → plugin install → shell.
Требует:

1. Активного админа (или социнженерии).

2. Плагина с weak nonce.
   Готов купить/обменять аналогичные векторы для Joomla.`

Дисклеймер: Эксплуатация незаконна. Материал — для аудита безопасности.