CVE-2026-76547 — Inyección de objetos PHP en Profile Builder < 4.0.1

Investigador: Vivien Lebas Plugin afectado: Profile Builder (WordPress) Versiones afectadas: < 4.0.1 Corregido en: 4.0.1 Tipo: Inyección de objetos PHP (deserialización insegura) CWE: CWE-502 OWASP: A8 – Deserialización insegura CVSS 3.1: 6.6 (Medio) — AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H WPScan: Aviso verificado

Resumen

El complemento Import/Export de Profile Builder no valida el tipo de datos que se deserializan al importar un archivo de configuración. Por lo tanto, un usuario con privilegios elevados (administrador) puede desencadenar una inyección de objetos PHP importando un archivo JSON manipulado.

El complemento es una extensión gratuita, deshabilitada por defecto, y Profile Builder en sí mismo no incluye ninguna cadena POP (Property-Oriented Programming) utilizable. Por lo tanto, alcanzar un impacto concreto requiere un gadget adecuado de otro plugin o tema instalado.

Componente afectado

La vulnerabilidad está en la función de importación:

/wp-admin/admin.php?page=pbie-import-export&tab=import

Un valor dentro del archivo importado se pasa a maybe_unserialize() de WordPress sin ninguna comprobación de tipo. Si el valor es una cadena de objeto serializado, PHP instancia la clase nombrada y ejecuta sus métodos mágicos (__wakeup, __destruct) durante la solicitud de importación.

Requisitos previos

• Profile Builder instalado y activo.
• El complemento gratuito Import and Export habilitado en Profile Builder > Add-ons (deshabilitado en una instalación estándar — un administrador debe activarlo).
• Una cuenta de Administrador (manage_options). En multisitio, la importación está restringida a manage_network, por lo que se requiere un Network/Super Administrator; un Administrador de subsitio es rechazado.
• Una clase con un método mágico utilizable debe estar cargada en el objetivo para que el objeto inyectado tenga un efecto observable. Profile Builder no incluye ninguna, por lo que el payload a continuación usa Evil como sustituto de cualquier clase de este tipo que proporcione un plugin o tema instalado.

Prueba de concepto

1. Inicie sesión como Administrador y abra:

   https://victim.example/wp-admin/admin.php?page=pbie-import-export&tab=import

2. Guarde lo siguiente como payload.json:

   {
     "options": {},
     "posts": {
       "wppb-rf-cpt": [
         {
           "post_title": "POC",
           "post_name": "poc",
           "post_type": "post",
           "post_status": "publish",
           "postmeta": {
             "poc": ["O:4:\"Evil\":0:{}"]
           }
         }
       ]
     }
   }

3. Elija payload.json en el campo JSON File y pulse Import.

Resultado

La cadena dentro del valor postmeta se pasa a maybe_unserialize(), por lo que la clase nombrada se instancia y sus métodos mágicos se ejecutan durante la solicitud de importación.

Notas

• La clave externa debe ser una de wppb-ul-cpt, wppb-rf-cpt o wppb-epf-cpt, pero el tipo de entrada realmente creado se toma del campo post_type de cada entrada, por lo que la ruta es accesible sin una licencia Pro.
• El objeto deserializado no se almacena: la fila de metadatos resultante está vacía. El impacto se limita a lo que se ejecuta durante esa solicitud.

Impacto

Inyección de objetos PHP. Con una cadena de gadgets adecuada de otro plugin o tema instalado, esto puede dar lugar a acciones como operaciones con archivos o, dependiendo de los gadgets disponibles, ejecución remota de código.

Remediación

Actualice Profile Builder a 4.0.1 o posterior.

Divulgación

Esta vulnerabilidad fue divulgada de forma responsable al proveedor y se publica después de que se haya puesto a disposición una corrección, con fines educativos y defensivos.