El plugin WPForms Pro para WordPress es vulnerable a la Subida Arbitraria de Archivos en todas las versiones hasta la 1.10.1.1 inclusive a través de la función ajax_chunk_upload_finalize. Esto se debe a que la validación del tipo de archivo ocurre después de que los metadatos del fragmento y el contenido del archivo ya se han escrito en el disco, y a que el archivo ensamblado no se elimina cuando la validación falla. Esto permite que atacantes no autenticados suban archivos que pueden ser ejecutables, lo que hace posible la ejecución remota de código.

Causa Raíz

La cadena de vulnerabilidad explota un fallo crítico de orden en el ciclo de vida de la subida fragmentada:

1. Init crea los metadatos en el disco antes de comprobar si la extensión del archivo está permitida
2. Chunk carga los metadatos y escribe los bytes sin procesar en una ruta predecible (SHA1(UUID)-0.chunk)
3. Finalize ensambla el archivo final antes de validar su tipo MIME — y no realiza la limpieza en caso de fallo
4. No se aplica verificación de nonce en ninguno de los tres endpoints AJAX
5. Las tres rutas están registradas para visitantes no autenticados (wp_ajax_nopriv_*)

Características

• Escaneo multiobjetivo — alimenta una lista de objetivos, procesados de forma concurrente
• Detección automática de formularios — rastrea páginas, sitemaps y más de 100 rutas comunes para localizar campos de subida de WPForms
• Detección de versión — lee readme.txt y el código fuente HTML para identificar versiones vulnerables de WPForms
• Validación de rutas AJAX — confirma que wpforms_upload_chunk_init es accesible externamente antes de continuar
• Estrategia de subida dual:
  • Subidas finalizadas (init → chunk → finalize) con extensiones tanto seguras como ejecutables
  • Subidas solo de fragmentos (init → chunk, omitir finalize) para rutas de archivo deterministas mediante SHA1(UUID)
• Cálculo de ruta predecible — calcula SHA1(client-controlled UUID) para derivar la URL exacta del fragmento sin necesidad de adivinar
• Diff del listado de directorio — toma instantáneas de /wpforms/tmp/ antes y después de las subidas de archivos ejecutables para identificar archivos recién escritos
• Extracción de hashes filtrados — escanea todos los cuerpos de respuesta y cabeceras en busca de patrones de nombre de archivo <32hex>.<ext>
• Verificación de ejecución — confirma la ejecución real de PHP comprobando una firma única en el cuerpo de la respuesta, descartando el servicio de archivos estáticos y la divulgación de código fuente
• Sondeo de PATH_INFO — intenta omitir el manejador del servidor (.chunk/x.php, /.php) para desencadenar la ejecución de PHP en extensiones que no son PHP
• Cargas poliglotas — genera imágenes PNG válidas con PHP incrustado después del fragmento IEND
• Salida profesional — visualización en terminal en tiempo real con códigos de color y seguimiento de estado por objetivo

Requisitos

beautifulsoup4 es opcional pero recomendado para una extracción más fiable de los campos del formulario.

Uso

Se te solicitará lo siguiente:

Formato del Archivo de Objetivos

Una URL por línea. Admite http://, https://, dominios sin prefijo, IPs e instalaciones en subdirectorios.

Salida

Terminal

Durante el escaneo, cada objetivo avanza a través de etapas etiquetadas:

Archivos de Resultado

Todos los resultados se guardan en Nx_hit/:

Resumen

Flujo del Escaneo

Descargo de Responsabilidad

Esta herramienta se proporciona estrictamente para pruebas de seguridad autorizadas y fines de investigación educativa. Úsala únicamente en sistemas de tu propiedad o para los que tengas permiso explícito por escrito de realizar pruebas.

El acceso no autorizado a sistemas informáticos es ilegal. El autor no asume ninguna responsabilidad por el mal uso, los daños o las consecuencias legales derivadas del uso de este software.

Al usar esta herramienta, aceptas que eres el único responsable de tus acciones y que cumplirás con todas las leyes y regulaciones aplicables.

Por: Nxploited
_{Khaled Alenazi}
T.m @Kxploit