Skip to content
KitploitKITPLOIT
ToolsBlog
Einreichen
ToolsBlog
Einreichen

Hacking-, PenTest- und Cybersicherheits-Tools für Ihr Sicherheitsarsenal!

Kitploit ist ein Verzeichnis von Hacking-, Cybersicherheits- und Pentesting-Tools. Entdecken Sie die neuesten Projekt-Updates, um Schwachstellen zu finden, Systeme zu analysieren, Tests zu automatisieren und Ihre Sicherheit zu stärken.

··Feeds·Kontakt·Datenschutz·© 2026 Kitploit

Tool-Verzeichnis

Kategorien

Alle Kategorien anzeigen
Loading categories
Tools/GitHubGitHub/abraxas/cve-2026-19952
SchwachstellenscannerSchwachstellenanalyseExploitationWebanwendungs-ExploitationWebsicherheitPenetrationstestsPapers & ForschungLabs & Praxis
GitHubabraxas/cve-2026-19952

CVE-2026-19952

Proof-of-Concept- und Disclosure-Paket für CVE-2026-19952, eine unauthentifizierte beliebige Dateilöschung im WordPress-Plugin Frontend Admin, mit Schritten zur Reproduktion im Labor.

Repository anzeigen
vor 5h 4mNoch nicht geprüft

Beliebteste

Alle anzeigen →

Entdecken Sie die meistgenutzten Tools unserer Community.

Alle Tools erkunden

Durchsuchen Sie unsere Tool-Sammlung

Alle Tools anzeigen →
Teilen

Abraxas Labs — CVE-2026-19952 — WordPress

abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  CVE-2026-19952

CVE-2026-19952 — WordPress

WordPress — Frontend Admin by DynamiApps 3.29.12 — DynamiApps

Das Plugin Frontend Admin by DynamiApps für WordPress ist aufgrund unzureichender Validierung des Dateipfads in der Funktion move_folders in allen Versionen bis einschließlich 3.29.12 anfällig für beliebige Dateilöschung. Dadurch ist es nicht authentifizierten Angreifern möglich, beliebige Dateien auf dem Server zu löschen, was leicht zu Remote-Code-Ausführung führen kann, wenn die richtige Datei gelöscht wird (etwa wp-config.php). Dies ist ohne Authentifizierung ausnutzbar, wenn ein Formular mit öffentlicher Sichtbarkeit konfiguriert ist (who_can_see='all'), da der erforderliche Nonce öffentlich aus dem gerenderten Formular abrufbar ist.

CVECVE-2026-19952 · CVE.org
CWECWE-22
CVSSHigh: 7.5 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
ProduktWordPress — Frontend Admin by DynamiApps
Betroffenalle Versionen bis einschließlich 3.29.12
Gepatcht3.29.13 und später
Authkeine (siehe Source Map)
LizenzGNU Affero GPL v3.0
Labnur 127.0.0.1 · Vendor/Client-Disclosure-Paket, kein Scanner

Advisory (aus der Source Map)

move_folders ist der Sink, eingehängt an acf/pre_update_value/type=upload_files (Galerie), nicht upload_file. HTTP ist admin-ajax.php action=frontend_admin/form_submit. Merge-Tag ist [post:title] aus dem übermittelten post_title.

Einstieg

  • Methode: POST
  • Pfad: /wp-admin/admin-ajax.php
  • Router: wp_ajax_nopriv_frontend_admin/form_submit. upload_files pre_update_value -> move_folders. custom_directory_name Merge-Tag [post:title] übernimmt das post_title des Angreifers. Der Pfad ist uploads/basedir + dir_name ohne Containment. unlink(upload_dir/index.php), wenn secure_directory deaktiviert ist. 3.29.13 fügt get_safe_upload_dir hinzu.
  • Hinweise: CVE-2026-19952 CWE-22 Frontend Admin 3.29.12. Der Witness ist POCWitness19952, das nach dem POST aus GET /wp-content/poc19952/index.php verschwindet. Ein generischer Formular-JSON-Erfolg ohne die Löschung ist es nicht.

Aufrufkette

  • GET /wp-content/poc19952/index.php expect POCWitness19952
  • GET /fea-files-lab/ harvest hiddens and field keys
  • POST /wp-admin/admin-ajax.php action=frontend_admin/form_submit acff[post][title]=../poc19952 acff[post][files]=1
  • check_submit_form nopriv + who_can_see=all
  • create_record post_title _input=../poc19952
  • ActionPost::run acf_update_value on upload_files field
  • move_folders get_dynamic_values([acf:post_title]) -> ../poc19952
  • upload_dir = basedir/../poc19952 = wp-content/poc19952
  • unlink wp-content/poc19952/index.php
  • GET /wp-content/poc19952/index.php no POCWitness19952

Lab-Voraussetzungen

  • Frontend Admin 3.29.12 (3.29.13 fügt get_safe_upload_dir hinzu)
  • veröffentlichtes admin_form who_can_see=all, save_to_post=new_post, post_title + upload_files mit custom_directory und custom_directory_name=[acf:post_title]
  • öffentliche Seite /fea-files-lab/
  • wp-content/poc19952/index.php gibt POCWitness19952 aus

Witness

Vor dem POST enthält GET /wp-content/poc19952/index.php POCWitness19952. Nach dem POST ist dieser String verschwunden (404). Ein Formular-JSON-Erfolg allein ist es nicht.

Kein Erfolg

  • ajax success JSON, ohne dass die Datei verschwindet
  • POCWitness19952 nach dem POST weiterhin vorhanden
  • 403/404 beim Formular ohne vorherigen 200-Witness
  • Löschen von wp-config.php
  • Reverse Shell oder ausgehende Verbindung

Patch / Behebung

Zuerst dies tun: Aktualisieren Sie Frontend Admin by DynamiApps auf 3.29.13 oder neuer (get_safe_upload_dir).

Nach dem Upgrade verifizieren

  • Führen Sie CVE-2026-19952-Abraxas-Labs.py erneut gegen den gepatchten Build aus: Der zugeordnete Witness darf nicht erscheinen.
  • Bestätigen Sie das Vendor-Advisory / den Changeset im bereitgestellten Tree (siehe Referenzen).
  • Eine WAF-Signatur ist eine Verzögerung, kein Patch.

Wenn Sie nicht sofort aktualisieren können

  • Deaktivieren oder isolieren Sie die betroffene Komponente.
  • Suchen Sie in der Produktion nach der Witness-Bedingung (neue privilegierte Benutzer, unerwartete Dateien, eingeschleuste Zeilen — was auch immer die Map dieser CVE benennt).

Reproduktion (autorisiertes Lab)

Zielen Sie ausschließlich auf http://127.0.0.1:8088 (oder das Loopback, an das Sie gebunden haben). Richten Sie dieses Skript nicht auf das Internet.

root@kitploit:~
python3 CVE-2026-19952-Abraxas-Labs.py

Erfolg ist der Witness oben im Response-Body. Generisches 200-HTML ist es nicht.

Lab-Images

Loopback-Stack zur Reproduktion. Offizielle Images, sofern nicht ein Dockerfile in diesem Ordner aus dem Quellcode baut.

  • lab/docker-compose.yml
  • lab/docker-compose.override.yml
  • lab/Dockerfile
root@kitploit:~
cd lab
docker compose up --force-recreate

Binden Sie den verwundbaren Produkt-Tree neben Compose ein, wenn die YAML ein lokales Verzeichnis mountet (Plugin-Zip / Source-Tag aus der Versionstabelle). Veröffentlichen Sie nichts außer 127.0.0.1.

Referenzen

  • CVE-2026-19952 · NVD

  • CVE-2026-19952 · CVE.org

  • plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/fields/general/class-upload-file.php#L1014

  • plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/fields/general/class-upload-file.php#L1044

  • plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/fields/general/class-upload-file.php#L1047

  • plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/forms/classes/shortcodes.php#L99

  • plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/forms/classes/submit.php#L125

  • plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/forms/classes/submit.php#L276

  • plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.13/main/frontend/fields/general/class-upload-file.php#L1047

  • www.wordfence.com/threat-intel/vulnerabilities/id/55ec5101-6494-4180-9492-03863e839ad2?source=cve

  • github.com/advisories/GHSA-3rrx-59q7-9g4m

  • nvd.nist.gov/vuln/detail/CVE-2026-19952

  • Plugin-Verzeichnis: acf-frontend-form-element

  • Trac-Browser: plugins.trac.wordpress.org/acf-frontend-form-element

  • SVN-Tags: plugins.svn.wordpress.org/acf-frontend-form-element

  • Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

Datensätze (strukturiert)

root@kitploit:~
# CVE-2026-19952  (structured records)

- input: `https://nvd.nist.gov/vuln/detail/CVE-2026-19952`
- CWE: CWE-22
- published: 2026-09-01T05:17:09.747

## NVD description

The Frontend Admin by DynamiApps plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the move_folders function in all versions up to, and including, 3.29.12. This makes it possible for unauthenticated attackers to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php). This is exploitable without authentication when a form is configured with public visibility (who_can_see='all'), as the required nonce is publicly obtainable from the rendered form.

## MITRE description

error: <urlopen error [Errno 8] nodename nor servname provided, or not known>

## Affected


## References (JSON sources only)

- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/fields/general/class-upload-file.php#L1014
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/fields/general/class-upload-file.php#L1044
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/fields/general/class-upload-file.php#L1047
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/forms/classes/shortcodes.php#L99
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/forms/classes/submit.php#L125
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/forms/classes/submit.php#L276
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.13/main/frontend/fields/general/class-upload-file.php#L1047
- https://www.wordfence.com/threat-intel/vulnerabilities/id/55ec5101-6494-4180-9492-03863e839ad2?source=cve
- https://github.com/advisories/GHSA-3rrx-59q7-9g4m
- https://nvd.nist.gov/vuln/detail/CVE-2026-19952

## GitHub advisory

The Frontend Admin by DynamiApps plugin for WordPress is vulnerable to arbitrary file deletion...

The Frontend Admin by DynamiApps plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the move_folders function in all versions up to, and including, 3.29.12. This makes it possible for unauthenticated attackers to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php). This is exploitable without authentication when a form is configured with public visibility (who_can_see='all'), as the required nonce is publicly obtainable from the rendered form.

Lizenz

Dieses Disclosure-Paket ist unter der GNU Affero General Public License v3.0 lizenziert. Siehe LICENSE.

Haftungsausschluss

Dieses Paket ist für den Vendor, den Site-Eigentümer und lizenzierte Labs. Das Skript kommuniziert mit 127.0.0.1. Die Verwendung gegen Systeme, die Ihnen nicht gehören, ist von Abraxas Labs nicht autorisiert. Keine Gewährleistung.

abraxaslabs.tech · github.com/abraxas · @abraxas_null

Tool herunterladen