CVE-2026-5118 — Divi Form Builder <= 5.1.2 — 未授权权限提升（通过角色注入）

🔥 漏洞概述

WordPress 插件 Divi Form Builder 版本 <= 5.1.2 存在一个未授权权限提升漏洞。此严重缺陷允许未授权攻击者直接通过任何 Divi Form Builder 表单（包括联系表单、报价表单、新闻通讯表单或任何其他支持 DFB 的表单）创建新的管理员账户。

该漏洞源于 FormSubmissionHandler.php 中的 create_user() 函数，该函数直接从用户提交的 POST 数据中接受 role 参数，而未进行适当的授权或白名单验证。插件仅检查提交的角色在系统中是否存在（例如，administrator 是有效的 WordPress 角色）—— 它从不检查该角色对于公开注册是否安全。

突破性发现： Divi Form Builder 使用的 fb_nonce 是一个全局共享的 nonce (wp_create_nonce('security')) — 站点上所有表单均相同。此外，form_type=register 可以通过 POST 到共享 AJAX 处理器进行覆盖。这意味着任何 DFB 表单（联系、报价、反馈等）都可以被武器化，以触发用户注册并分配任意角色。

🔍 受影响插件

• 插件名称： Divi Form Builder
• 受影响版本： <= 5.1.2
• 漏洞类型： 未授权权限提升（通过角色注入）
• CVE ID： CVE-2026-5118
• CVSS 评分： 9.8（严重）
• CWE： CWE-266 — 权限分配错误
• 影响： 完全站点接管 — 创建管理员账户

🧨 攻击者能做什么

🧪 利用特性

• 🔓 无需认证
• 📝 适用于任何 DFB 表单 — 联系、报价、新闻通讯、反馈等。
• 🎯 针对 AJAX 端点 /wp-admin/admin-ajax.php?action=de_fb_ajax_submit_ajax_handler
• 🧠 角色注入 — 提交 role=administrator 以及常规表单字段
• 🌐 批量扫描支持 — 带自动发现的多线程多目标扫描器
• 📄 结果保存至 result.txt

🧠 漏洞代码

// includes/shared/handlers/FormSubmissionHandler.php ~ line 2250
$role = isset($form_data['role']) ? sanitize_text_field($form_data['role']) : 'subscriber';

// ~ line 2278 — ONLY checks if role EXISTS, not if it is SAFE
$roles_obj = function_exists('wp_roles') ? wp_roles() : null;
if ($roles_obj && is_object($roles_obj) && is_array($roles_obj->roles) && !isset($roles_obj->roles[$role])) {
    $role = 'subscriber';  // ← "administrator" EXISTS, so this check PASSES
}

// ~ line 2301 — Directly applies the injected role
$user = new WP_User($user_id);
$user->set_role($role);  // ← PRIVILEGE ESCALATION!

🚀 使用方法

单个目标

python3 exploit.py -t http://target.com
python3 exploit.py -t https://target.com -u hacker -p Pass123! -e [email protected]

批量扫描（列表不含 http/https）

创建 targets.txt：

target1.com
target2.com:8080
192.168.1.50
subdomain.target.com

python3 exploit.py -l targets.txt -T 20

选项

🛠 修复建议

// SECURE: Allowlist only safe roles for public registration
$allowed_registration_roles = array('subscriber', 'contributor');
if (!in_array($role, $allowed_registration_roles, true)) {
    $role = 'subscriber';  // ← Reject ALL dangerous roles
}

• 完全从前端表单中移除 role 隐藏输入
• 为特权角色添加 current_user_can('create_users') 能力检查
• 实施严格的每个表单作用域的 nonce 验证，而非全局
• 在注册 AJAX 端点上添加速率限制

🧠 研究人员

• 致谢：0xd4rk5id3

📚 参考信息

• Wordfence 公告
• 原始 CVE 仓库

🔒 免责声明：

此信息仅供教育和授权渗透测试用途。未经授权利用计算机系统是非法的且不道德的。在测试任何不属于您的目标之前，请务必获得明确的书面许可。