abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  CVE-2026-12793

CVE-2026-12793

JetFormBuilder — Dynamic Blocks Form Builder 3.6.2 — jetmonsters

إن إضافة JetFormBuilder — Dynamic Blocks Form Builder الخاصة بـ WordPress معرّضة لتصعيد الصلاحيات (Privilege Escalation) في جميع الإصدارات حتى الإصدار 3.6.2 ضمناً. ويعود السبب إلى أن الإضافة لا تتحقق من أن معرّف النموذج المُرسَل ينتمي إلى نموذج JetFormBuilder قبل تحليل محتوى المنشور المُشار إليه كمخطط للنموذج وتنفيذ استدعاء خادمي (server-side callback) للتحقق المتقدم (Advanced Validation). وهذا يجعل من الممكن للمهاجمين غير المصادَق عليهم إنشاء حساب مستخدم جديد بمستوى مسؤول (administrator).

الإشعار (من خريطة المصدر)

يذكر الإشعار _jet_engine_booking_form_id و Advanced Validation. حقل POST هذا هو Form_Handler::$form_key. خطاف الموجّه (router hook) ليس الافتراضي في المصدر jet_form_builder_submit=submit؛ بل هو gfb_request_args_key/value العشوائي. أسماء دوال PHP ليست action= في HTTP. مسار REST validate-field هو المسار الخاطئ في 3.6.2 (فإن validate_form_post_type يعمل بالفعل).

المدخل

• الطريقة: POST
• المسار: /
• الموجّه: يستمع Form_Request_Router إلى REQUEST[hook_key]=hook_val. وهذه ليست الافتراضيات في المصدر jet_form_builder_submit=submit — إذ يستبدلها Form_Handler::set_jfb_request_args من الخيار jet_form_builder_settings__options-tab gfb_request_args_key / gfb_request_args_value (عشوائي 6+12 حرفاً عند أول تحميل). أي POST لا يزال يرسل jet_form_builder_submit=submit لن يتطابق أبداً؛ وسيعرض WP قالب HTML الخاص بالثيم (~80k). حقل معرّف النموذج لا يزال _jet_engine_booking_form_id.
• ملاحظات: CVE-2026-12793: إن set_form_id يقوم فقط بـ absint(). و get_blocks_by_post يقوم بـ parse_blocks() لأي منشور. بذرة المختبر: منشور منشور بمعرّف jfb-lab-carrier (post_type=post، وليس jet-form-builder) مع حقول jet-forms و _jf_actions register_user administrator، وفقرة JFB_HOOK_KEY=... JFB_HOOK_VAL=... بحيث يكون زوج الموجّه العشوائي في جسم REST العام (نفس القيم التي يضعها نموذج حقيقي في الحقول المخفية). الخطوة 1 GET /?rest_route=/wp/v2/posts&slug=jfb-lab-carrier (المعرّف + زوج الخطاف). الخطوة 2 POST / مع ذلك الزوج، method=ajax، معرّف النموذج، login/email/password. لا تستخدم REST validate-field (فهو يتحقق من النوع بالفعل في 3.6.2). HTML الصفحة الرئيسية هو فشل.

سلسلة الاستدعاء

• GET /?rest_route=/wp/v2/posts&slug=jfb-lab-carrier -> id plus JFB_HOOK_KEY / JFB_HOOK_VAL (options-tab gfb_request_args_*)
• POST / REQUEST[hook_key]=hook_val method=ajax (NOT jet_form_builder_submit=submit)
• Form_Request_Router::listen (includes/request/request-router.php) uses Form_Handler::$hook_key/$hook_val
• Form_Handler::process_form -> setup_form -> set_form_id absint only (includes/form-handler.php:150-154, 183-200, 240)
• send_form: Action_Handler::set_form_id -> set_form_actions from _jf_actions of that post (includes/actions/action-handler.php:71-117)
• Request_Handler::set_form_data -> Block_Helper::get_blocks_by_post parse_blocks any post (includes/blocks/block-helper.php:186-201; includes/request/request-handler.php:30-33)
• block-parsers Module::init_request apply those blocks (modules/block-parsers/module.php:101-119)
• Default_Process_Event runs Register_User_Action::do_action wp_insert_user with settings.user_role (modules/actions-v2/register-user/register-user-action.php:66-215)

شروط المختبر المسبقة

• WordPress مع تفعيل jetformbuilder 3.6.2
• بذرة المختبر نشرت منشوراً عادياً slug=jfb-lab-carrier (post_type=post، وليس jet-form-builder) مع كتل jet-forms/text-field باسم login,email,password و _jf_actions register_user role administrator، _jf_args load_nonce=hide
• اكتشف المعرّف عبر GET /?rest_route=/wp/v2/posts&slug=jfb-lab-carrier

الدليل

يحتوي POST JSON على status success و user_id رقمي. متابعة GET /?rest_route=/wp/v2/users/<user_id> أو قائمة لاحقة تتضمن login poc_12793 مع role administrator. تسجيل الدخول الفريد poc_12793 هو العلامة — وليس HTML hello-world.

ليس نجاحاً

• HTML hello world عام 200
• POST / 200 مع ~80k من HTML الثيم (فشل الموجّه: لا يزال يرسل jet_form_builder_submit=submit)
• admin-ajax 400 body 0
• Invalid form ID / Invalid security signature من /jet-form-builder/v1/validate-field
• status failed / nonce_failed / csrf_failed
• إنشاء مشترك (subscriber) بدلاً من مسؤول (administrator)
• استخدام معرّف CPT حقيقي لـ jet-form-builder (هذا هو السلوك المقصود، وليس هذه الثغرة)

الترقيع / المعالجة

افعل هذا أولاً: حدّث JetFormBuilder — Dynamic Blocks Form Builder إلى 3.6.2.1 أو أحدث.

تحقق بعد الترقية

• أعد تشغيل CVE-2026-12793-Abraxas-Labs.py مقابل البناء المُرقَّع: يجب ألا يظهر الدليل المُعيَّن.
• أكّد إشعار المورّد / مجموعة التغييرات في الشجرة المنشورة (انظر المراجع).
• توقيع WAF هو تأخير، وليس ترقيعاً.

إذا لم تستطع التحديث فوراً

• عطّل أو اعزل المكوّن المتأثر.
• ابحث عن حالة الدليل في بيئة الإنتاج (مستخدمون مميزون جدد، ملفات غير متوقعة، صفوف مُدخَلة — أي شيء تسميه خريطة هذه الثغرة).

إعادة الإنتاج (مختبر مُصرَّح به)

استهدف فقط http://127.0.0.1:8088 (أو عنوان loopback الذي ربطته). لا توجّه هذا السكربت إلى الإنترنت.

python3 CVE-2026-12793-Abraxas-Labs.py

النجاح هو الدليل المذكور أعلاه في جسم الاستجابة. HTML العام 200 ليس كذلك.

المراجع

• CVE-2026-12793 · NVD

• CVE-2026-12793 · CVE.org

• plugins.trac.wordpress.org/changeset/3575346/jetformbuilder

• www.wordfence.com/threat-intel/vulnerabilities/id/a61b2ecc-d4e1-4e71-9187-ddc3d3616a29?source=cve

• github.com/advisories/GHSA-579w-q4cr-j8hc

• nvd.nist.gov/vuln/detail/CVE-2026-12793

• دليل الإضافات: jetformbuilder

• متصفح Trac: plugins.trac.wordpress.org/jetformbuilder

• وسوم SVN: plugins.svn.wordpress.org/jetformbuilder

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

السجلات (منظمة)

# CVE-2026-12793  (structured records)

- input: `https://nvd.nist.gov/vuln/detail/CVE-2026-12793`
- CWE: CWE-269
- published: 2026-09-16T04:17:56.110

## NVD description

The JetFormBuilder — Dynamic Blocks Form Builder plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 3.6.2. This is due to the plugin not validating that a submitted form ID belongs to a JetFormBuilder form before parsing the referenced post's content as form schema and executing an Advanced Validation server-side callback. This makes it possible for unauthenticated attackers to create a new administrator-level user account.

## MITRE description

The JetFormBuilder — Dynamic Blocks Form Builder plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 3.6.2. This is due to the plugin not validating that a submitted form ID belongs to a JetFormBuilder form before parsing the referenced post's content as form schema and executing an Advanced Validation server-side callback. This makes it possible for unauthenticated attackers to create a new administrator-level user account.

## Affected

- jetmonsters JetFormBuilder — Dynamic Blocks Form Builder 0 affected

## References (JSON sources only)

- https://plugins.trac.wordpress.org/changeset/3575346/jetformbuilder
- https://www.wordfence.com/threat-intel/vulnerabilities/id/a61b2ecc-d4e1-4e71-9187-ddc3d3616a29?source=cve
- https://github.com/advisories/GHSA-579w-q4cr-j8hc
- https://nvd.nist.gov/vuln/detail/CVE-2026-12793

## GitHub advisory

The JetFormBuilder — Dynamic Blocks Form Builder plugin for WordPress is vulnerable to Privilege...

The JetFormBuilder — Dynamic Blocks Form Builder plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 3.6.2. This is due to the plugin not validating that a submitted form ID belongs to a JetFormBuilder form before parsing the referenced post's content as form schema and executing an Advanced Validation server-side callback. This makes it possible for unauthenticated attackers to create a new administrator-level user account.

إخلاء المسؤولية

هذه الحزمة مخصّصة للمورّد، ومالك الموقع، والمختبرات المُرخَّصة. يتواصل السكربت مع 127.0.0.1. استخدامه ضد أنظمة لا تملكها غير مُصرَّح به من Abraxas Labs. لا ضمان.

abraxaslabs.tech · github.com/abraxas · @abraxas_null