Análisis técnico (del código mirror v3.1.8.4)

1. Nonce público — includes/modules/FilterPosts/FilterPosts.php:1759 crea wp_create_nonce('filter_object') y lo adjunta mediante wp_localize_script (filter_ajax_object.security) al script que se encola para TODOS los visitantes (wp_enqueue_scripts). El nonce no es una barrera: cada visitante tiene una copia.
2. Punto de entrada sin autenticación — filter_ajax.php:3406-3407 y loadmore_ajax.php:569-570 registran handlers con wp_ajax_nopriv_* (sin login).
3. Entrada sin saneamiento — filter_ajax.php:114-133 (loadmore: 73-91): $loop_var = json_decode(sanitize_text_field($_POST['loop_var'])), luego $custom_loop_template = $loop_var['custom_loop_template'] verbatim — sin basename(), sin lista blanca, sin comprobación de realpath.
4. Sink — filter_ajax.php:2871-2873 (loadmore: 344-346):
   root@kitploit:~

   if ($loop_templates == 'custom-template') {
       if (file_exists(get_stylesheet_directory() . '/divi-ajax-filter/loop-templates/' . $custom_loop_template)) {
           include(get_stylesheet_directory() . '/divi-ajax-filter/loop-templates/' . $custom_loop_template);
   

   Condición: la solicitud debe entrar en la rama no-WooCommerce ($posttype del JSON query es libre, sin lista de permitidos) y la consulta debe devolver >= 1 post.
5. Profundidad de traversal — directorio base = <webroot>/wp-content/themes/<theme>/divi-ajax-filter/loop-templates/ → se necesitan ../../../../../ (5×) para volver al webroot. NOTA IMPORTANTE: file_exists()/include() fallan silenciosamente si el componente del prefijo de ruta no existe — el directorio divi-ajax-filter/loop-templates/ dentro del theme debe existir (esta es la estructura de custom-template documentada del plugin, por lo que es común en sitios que usan esta función; sin ese directorio el traversal queda efectivamente bloqueado).
6. RCE — si un atacante puede colocar un .php en el servidor (subida de usuario con rol author, configuración de subida laxa, otro plugin), incluir el archivo subido = ejecución de código.

Estructura de directorios

Ejecutar el laboratorio

PoC / Escáner en vivo (sin modo — todos los objetivos se tratan como en vivo)

• Los dominios sin esquema se convierten automáticamente en http://; deduplicación automática; los resultados se escriben de forma incremental en results_cve-2026-11613.csv (seguro ante Ctrl-C, los resultados parciales se guardan).
• Estado por objetivo: VULN: LFI / VULN: LFI+RCE (verde), not-confirmed (amarillo), NO-NONCE / NO-PLUGIN (cian), UNREACHABLE / ERROR (rojo).
• --no-color / env NO_COLOR para salida plana; el color se desactiva automáticamente al usar pipes.
• Código de salida: 0 = hay objetivo vulnerable, 1 = no hay ninguno, 130 = interrumpido.

WayangXploit — one-shot (plantar canary + verificación RCE automática)

Un solo comando: login → plantar canary WayangXploit (plugin pequeño no activo, solo PoC: imprime marker+uid+uname y luego exit, no es webshell, sin parámetros cmd) → verificación → barrido LFI sin autenticación → veredicto RCE. Automático: https-upgrade, bypass SSL, POST que preserva redirecciones. Limpieza: elimina el plugin "WayangXploit Canary" + "Divi Compat Shim" en wp-admin después de la prueba.

poc_http.py ahora usa por defecto --upload-marker WayangXploit-RCE-CONFIRMED (por lo que basta con --upload-rel / --upload-name).

Resultados de verificación del laboratorio (reales, de respuestas HTTP)

Requisitos de explotabilidad en objetivos en vivo (los que comprueba live_scan.py):

1. El plugin Divi Ajax Filter <= 5.1.2 está activo (recon: acceso directo al archivo principal del plugin).
2. El nonce filter_object está expuesto en páginas públicas (el script del módulo está encolado).
3. Existe <theme>/divi-ajax-filter/loop-templates/ (el traversal con prefijo lo necesita).
4. Para RCE: hay un archivo .php al que el atacante puede acceder (p. ej. resultado de una subida) — solo LFI sigue teniendo impacto (divulgación de información / bypass de autenticación en cualquier archivo .php).