多线程批量利用工具，串联Super Forms和Elementor Pro中未经身份验证的WordPress文件上传漏洞，以部署并验证PHP Web Shell。

这两个漏洞均于 2026 年公开披露，且已在野被利用——针对暴露的 WordPress 安装已记录到数十万次利用尝试。

⚙️ 工作原理

向量 1 — Super Forms (CVE-2026-14894)

1. 通过 super_create_nonce AJAX 操作在未认证状态下生成有效 nonce。
2. 提交 super_submit_form，携带伪装成图片附件的 base64 datauristring PHP Shell。
3. 两种落地策略（可配置）：
   • 可预测 — 路径遍历（../ × 深度）将 Shell 直接植入 wp-content/uploads/superforms/、上传根目录或当前主题目录。
   • 常规 — 正常提交，然后通过响应 URL、WP REST 媒体 API 以及 YYYY/MM 上传路径定位 Shell。
4. 验证执行：Nx.php?sig=1 必须逐字节返回 Nx-zD 标记。

向量 2 — Elementor Pro (CVE-2026-32475)

根本原因：文件验证与文件处理在两个独立的循环中运行——一个 UPLOAD_ERR_NO_FILE 条目使验证提前 return（跳过扩展名检查），而处理阶段仍会对第二个条目执行 move_uploaded_file()。

1. 爬取首页、内部链接和常见页面（/contact/、/apply/、/upload/ 等），以发现带有可选文件上传字段的 Elementor 表单（必填字段和受验证码保护的表单会被跳过）。
2. 使用类型感知的占位值自动填充所有剩余字段。
3. 提交一个 multipart 上传，为上传字段携带两个条目：一个空文件（索引 0）+ PHP Shell（索引 1）——绕过扩展名检查。
4. 通过解析 JSON 响应，或在服务器时钟窗口附近扫描 uploads/elementor/forms/ 十六进制时间戳候选，恢复随机化的 <uniqid()>.php 文件名。
5. 透明地解决 409 humans_21909 机器人墙 Cookie 并重试。

Payload

部署一个极简的 Nxploited 品牌上传网关（Nx.php）——一个简洁的 Web UI，用于将任何后续文件直接上传到 Web 根目录。无冗余，无死代码。

✨ 功能特性

• 🔓 完全未认证——无需凭据、无需 Cookie、无需配置
• 🧠 针对每个目标自动侦察（AJAX 端点、REST 根、内容基础路径、当前主题、上传路径形态）
• 🔀 双重漏洞串联——对每个站点尝试两种向量
• 🧵 多线程批量扫描，带实时进度和命中面板
• ✅ 零误报——每个 Shell 在报告前都通过签名响应验证
• 🤖 自动填充表单（email/tel/url/number/select/textarea）并检测必填/验证码陷阱
• 🛡 自动处理机器人防护中间页
• 📁 结果导出至 Nx_shells.txt

📦 环境要求

• Python 3.8+
• 依赖项：

🚀 使用方法

交互模式

系统将提示你输入：

非交互模式（自动化 / cron）

输出

手动验证任意命中：

⚠️ 免责声明

本工具仅供授权安全测试、研究和教育目的使用。开发者不对任何滥用或损害负责。在测试任何目标之前，你有责任自行获取书面许可。

📡 保持更新

新的独家 0-day 和武器化 CVE 持续发布：

• Telegram 频道： https://t.me/KNxploited
• 联系方式： Nxploited | @Kxploit

By: Nxploited