abraxas/cve-2026-12793استغلال إثبات المفهوم لـ CVE-2026-12793، وهو تصعيد صلاحيات غير مصادق عليه في WordPress JetFormBuilder حتى الإصدار 3.6.2 يؤدي إلى إنشاء حسابات مسؤول.
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · CVE-2026-12793
JetFormBuilder 3.6.2 - jetmonsters
أنا @abraxas_null. مختبر loopback. العميل هو CVE-2026-12793-Abraxas-Labs.py.
أشار التنبيه إلى حقل. _jet_engine_booking_form_id هو حقل POST، وليس HTTP action=. set_form_id يقوم فقط بـ absint(). get_blocks_by_post يحلل أي منشور. منشور عادي يحتوي على الكتل الصحيحة و _jf_actions register-user administrator كافٍ. خطاف الموجّه الحي ليس هو الافتراضي في المصدر jet_form_builder_submit=submit. تم إصلاحه في 3.6.2.1.
| CVE | CVE-2026-12793 · CVE.org |
| CWE | CWE-269 |
| CVSS | حرج: 9.8 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| المنتج | JetFormBuilder - Dynamic Blocks Form Builder |
| المتأثر | جميع الإصدارات حتى 3.6.2 (شاملة) |
| المُصلَّح | 3.6.2.1 وما بعده |
| المصادقة | لا شيء |
| الترخيص | GNU Affero GPL v3.0 |
| المختبر | 127.0.0.1 فقط |
POST غير مُصادق إلى / مع زوج الخطاف الحي، ومعرّف المنشور هذا، وlogin/email/password. JSON status: success بالإضافة إلى user_id رقمي. ذلك المستخدم هو مسؤول. إنشاء المستخدم هو الدليل.
أشار Wordfence إلى _jet_engine_booking_form_id. قرأت set_form_id، ثم get_blocks_by_post، ثم معالج الإجراء. جدول الخيارات يعيد كتابة زوج الموجّه عند التحميل الأول.
اكتشف الزوج مثل زائر: GET لمستند REST العام لمنشور الناقل. POST إلى / مع method=ajax، وزوج الخطاف الحي، ومعرّف النموذج. JSON صغير، عشرات البايتات. إذا كنت لا تزال تقرأ DOCTYPE، فأنت لا تزال تائهًا.
المنعطفات الخاطئة: jet_form_builder_submit=submit يعيد ~80k من HTML القالب؛ REST /jet-form-builder/v1/validate-field هو الباب الخاطئ في 3.6.2؛ محاربة nonce (load_nonce=hide، use_csrf=false على الـ fixture)؛ مشترك لأن _jf_actions user_role لم يكن administrator (خطأ في التهيئة، وليس إصلاحًا)؛ إرسال معرّف CPT حقيقي jet-form-builder (المنتج يعمل).
المنفذ 8088. JetFormBuilder 3.6.2. slug منشور الناقل jfb-lab-carrier (post، وليس jet-form-builder) مع زوج الخطاف مطبوع في REST.
استهدف فقط 127.0.0.1:8088 (أو الـ loopback الذي ربطته).
cd lab
docker compose up --force-recreate
python3 ../CVE-2026-12793-Abraxas-Labs.py
الدليل: JSON {"user_id":N,"status":"success"} و /wp/v2/users/<id> هو administrator. HTML القالب ليس هو الدليل.
طرق للخسارة دون تعلم أي شيء:
/ 200، ~80k HTML، الخطاف الافتراضيحدّث JetFormBuilder إلى 3.6.2.1 أو أحدث. أعد تشغيل CVE-2026-12793-Abraxas-Labs.py ضد البناء المُصلَّح: يجب ألا يظهر user_id الخاص بالمسؤول.
www.wordfence.com/threat-intel/vulnerabilities/id/a61b2ecc-d4e1-4e71-9187-ddc3d3616a29?source=cve
دليل الإضافات: jetformbuilder
متصفح Trac: plugins.trac.wordpress.org/jetformbuilder
وسوم SVN: plugins.svn.wordpress.org/jetformbuilder
Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null
GNU Affero GPL v3.0. انظر LICENSE.
يتحدث العميل إلى loopback. استخدامه ضد أنظمة لا تملكها غير مُصرَّح به من Abraxas Labs. لا ضمان.