## https://sploitus.com/exploit?id=37A2BF9F-33E3-593D-89A3-A9A51C4AC0C3
# CVE-2026-15748 - Forminator Forms Unauthenticated RCE
> **Crafted by Yora**
> FOR EDUCATIONAL & AUTHORIZED TESTING ONLY
## 📌 Deskripsi
CVE-2026-15748 adalah kerentanan **Unauthenticated Remote Code Execution (RCE)** pada plugin **Forminator** untuk WordPress. Plugin ini digunakan di lebih dari **600.000 situs** dan rentan pada versi **≤ 1.56.1**.
Kerentanan ini memungkinkan attacker untuk **upload file PHP** dan mengeksekusi kode di server target **tanpa perlu login**, dengan syarat target memiliki form yang memiliki **File Upload** dan **Select Field** secara bersamaan.
## 🔥 Fitur Tool
- ✅ Deteksi WordPress & Forminator
- ✅ Deteksi versi Forminator (5 metode)
- ✅ Identifikasi target vulnerable (≤ 1.56.1)
- ✅ **Deep crawl** – sitemap, internal links, 20+ common paths
- ✅ Deteksi form dengan **file upload + select field**
- ✅ **Ekstrak nonce** otomatis
- ✅ **Upload test** (file .txt) untuk verifikasi
- ✅ Output detail per target (versi, status, upload result)
- ✅ Multi-threading support
- ✅ WAF-friendly (delay, user-agent rotation)
## 📦 Instalasi
### 1. Clone Repository
```bash
git clone https://github.com/yora/cve-2026-15748.git
cd cve-2026-15748