CVE-2026-76547 — PHP-Object-Injection in Profile Builder < 4.0.1

Forscher: Vivien Lebas Betroffenes Plugin: Profile Builder (WordPress) Betroffene Versionen: < 4.0.1 Behoben in: 4.0.1 Typ: PHP-Object-Injection (unsichere Deserialisierung) CWE: CWE-502 OWASP: A8 – Insecure Deserialization CVSS 3.1: 6.6 (Mittel) — AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H WPScan: Verifizierte Sicherheitsmeldung

Zusammenfassung

Das Import/Export-Add-on von Profile Builder validiert beim Importieren einer Konfigurationsdatei nicht den Typ der deserialisierten Daten. Ein Benutzer mit hohen Privilegien (Administrator) kann daher eine PHP-Object-Injection auslösen, indem er eine manipulierte JSON-Datei importiert.

Das Add-on ist eine kostenlose Erweiterung, die standardmäßig deaktiviert ist, und Profile Builder selbst enthält keine nutzbare POP-Kette (Property-Oriented Programming). Um eine konkrete Auswirkung zu erzielen, ist daher ein geeignetes Gadget aus einem anderen installierten Plugin oder Theme erforderlich.

Betroffene Komponente

Die Schwachstelle befindet sich in der Import-Funktion:

/wp-admin/admin.php?page=pbie-import-export&tab=import

Ein Wert innerhalb der importierten Datei wird ohne jegliche Typüberprüfung an WordPress' maybe_unserialize() übergeben. Handelt es sich bei dem Wert um einen serialisierten Objekt-String, instanziiert PHP die benannte Klasse und führt deren magische Methoden (__wakeup, __destruct) während der Import-Anfrage aus.

Voraussetzungen

Profile Builder ist installiert und aktiv.
Das kostenlose Import and Export-Add-on ist unter Profile Builder > Add-ons aktiviert (bei einer Standardinstallation deaktiviert — ein Administrator muss es einschalten).
Ein Administrator-Konto (manage_options). Bei Multisite ist der Import an manage_network gebunden, sodass ein Netzwerk-/Super-Administrator erforderlich ist; ein Administrator einer Subsite wird abgelehnt.
Eine Klasse mit einer nutzbaren magischen Methode muss auf dem Ziel geladen sein, damit das injizierte Objekt eine beobachtbare Wirkung hat. Profile Builder enthält keine solche Klasse, daher verwendet die folgende Payload Evil als Platzhalter für eine solche Klasse, die ein installiertes Plugin oder Theme bereitstellt.

Proof of Concept

Melden Sie sich als Administrator an und öffnen Sie:

   https://victim.example/wp-admin/admin.php?page=pbie-import-export&tab=import

Speichern Sie Folgendes als payload.json:

   {
     "options": {},
     "posts": {
       "wppb-rf-cpt": [
         {
           "post_title": "POC",
           "post_name": "poc",
           "post_type": "post",
           "post_status": "publish",
           "postmeta": {
             "poc": ["O:4:\"Evil\":0:{}"]
           }
         }
       ]
     }
   }

Wählen Sie payload.json im Feld JSON File und klicken Sie auf Import.

Ergebnis

Der String innerhalb des postmeta-Werts wird an maybe_unserialize() übergeben, sodass die benannte Klasse instanziiert und ihre magischen Methoden während der Import-Anfrage ausgeführt werden.

Hinweise

Der äußere Schlüssel muss einer von wppb-ul-cpt, wppb-rf-cpt oder wppb-epf-cpt sein, aber der tatsächlich erstellte Post-Typ wird aus dem post_type-Feld des jeweiligen Posts übernommen, sodass der Pfad ohne Pro-Lizenz erreichbar ist.
Das deserialisierte Objekt wird nicht gespeichert: Die resultierende Meta-Zeile ist leer. Die Auswirkung beschränkt sich auf das, was während dieser Anfrage ausgeführt wird.

Auswirkung

PHP-Object-Injection. Mit einer geeigneten Gadget-Kette aus einem anderen installierten Plugin oder Theme kann dies zu Aktionen wie Dateioperationen oder, je nach verfügbaren Gadgets, zur Ausführung von Remote-Code führen.

Behebung

Aktualisieren Sie Profile Builder auf 4.0.1 oder höher.

Offenlegung

Diese Schwachstelle wurde verantwortungsvoll an den Hersteller gemeldet und wird nach Bereitstellung eines Fixes zu Bildungs- und Verteidigungszwecken veröffentlicht.

CVE-2026-76547

Beliebteste