CVE-2026-96451

WordPress Ultimate Member 插件 <= 2.13.1 - 权限提升漏洞

🔥 CVE-2026-96451

Ultimate Member <= 2.13.1 — 权限提升 / 账户接管

📌 官方记录：CVE-2026-96451

---

📋 描述

来自 CVE.org：

Ultimate Member 中的“通过用户可控密钥绕过授权”漏洞（Ultimate Member Ultimate Member ultimate-member）允许权限提升。此问题影响 Ultimate Member：从 n/a 到 2.13.1。

字段	值
🆔 CVE	CVE-2026-96451
🏷️ CWE	CWE-639 — 通过用户可控密钥绕过授权
📊 CVSS 3.1	8.8 高危 AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
🏢 分配者	Patchstack
⚠️ 受影响	Ultimate Member 至 2.13.1
✅ 已修复	2.14.0

已登录的订阅者可以更改其他用户（通常是管理员）的电子邮件。随后 WordPress 会接受发往该新邮箱的密码重置请求。

---

🧠 工作原理

1. Ultimate Member 检查下载 nonce，然后调用 um_fetch_user($user_id)，并将全局用户切换为 URL 中的 ID。
2. 如果文件字段不存在，download_routing() 会返回，而不会调用 um_reset_user()。
3. 同一请求还携带账户表单字段（_um_account=1、user_email=...）。
4. account_submit() 读取 um_user('ID')——此时已是受害者——并写入新的电子邮件。

下载 nonce 为 wp_create_nonce($user_id . $form_id . 'um-download-nonce')。它绑定到该用户 ID，无法凭空构造。脚本会从可见的 /um-download/{form}/{field}/{user}/{nonce}/ 链接中复制它。

个人资料上必须显示自定义的文件或图片字段。内置的个人资料/封面照片不会生成此链接。

---

⚙️ 要求

pip install requests rich

• Python 3.9+
• 目标列表：每行一个 URL

---

🚀 使用方法

注册、登录、nonce 收集、漏洞利用和重置检查都是自动完成的。你无需手动创建账户，也无需为批量扫描传递订阅者密码。

批量扫描

python CVE-2026-96451.py -l targets.txt -t 80 --email "[email protected]" -o um_takeover.txt

此命令在每台主机上执行的操作：

1. 🔎 检测 Ultimate Member
2. 📝 在公开的 UM 表单上注册一个订阅者
3. 🔑 登录并打开 /account/
4. 📂 查找可见的 /um-download/ nonce（优先选择用户 ID 1，其次是任何拥有文件的成员）
5. 💥 发送身份混淆请求，并将账户邮箱设置为 --email
6. 📬 探测 wp-login.php?action=lostpassword（WordPress 在此处不需要 nonce）
7. 💾 将阶段结果写入 um_takeover.txt

--email 是放置在目标账户上的邮箱，以便你接收重置邮件。该脚本不会打开收件箱或设置新密码。最后一步需要手动完成。

单台主机

python CVE-2026-96451.py -u "https://example.com" --email "[email protected]"

可选参数

参数	用途	默认值
-l / --list	目标文件	—
-u / --url	单个目标	—
-t / --threads	工作线程数	10
-o / --output	结果文件	um_takeover.txt
--email	写入受害者账户的邮箱	自动生成
--target-id	首选用户 ID	1
--user / --password	使用现有订阅者而非注册新账户	关闭
-v / --verbose	打印每个阶段	关闭

在较慢的 RDP 机器上，80–150 个线程就足够了。列表扫描为每台主机分配约 22 秒。

---

📟 状态行

[5400/11965]  RST:0  CHG:0  UM:4463  REG:589  rf:3874 lf:0 na:141 nd:448 nc:0 no:937

代码	含义
RST / CHG	邮箱已更改和/或重置已接受——请检查收件箱
UM	检测到 Ultimate Member
REG	自动注册创建了会话
rf	无公开表单、CAPTCHA、审批或邮件激活
lf	已注册但登录失败
na	账户页面 / nonce 缺失
nd	无可见的下载 nonce（无自定义文件字段）
nc	漏洞利用已发送，更改未确认
no	不是 Ultimate Member

在许多主机上出现 REG_FAIL 是正常的。只有当注册创建了会话并且下载链接可见时，该链条才会继续。

当出现 RST 或 CHG 时：

1. 打开传递给 --email 的邮箱
2. 打开 WordPress 重置邮件
3. 设置密码
4. 在 /wp-login.php 或 /wp-admin/ 登录

---

⚖️ 免责声明

本项目仅用于经授权的安全研究——即你拥有或已获得书面许可进行测试的系统。

未经授权访问计算机系统是违法的。作者对误用、损害或本软件的任何后果不承担任何责任。你对本软件的使用方式以及你扫描的每一个目标负全部责任。

作者：Nxploited ( Khaled Alenazi )