CVE-2026-5524

Résumé

Le plugin Divi Form Builder pour WordPress est vulnérable au téléchargement arbitraire de fichiers, conduisant à une exécution de code à distance, dans toutes les versions jusqu'à la 5.1.8 incluse. Cela est dû à une validation insuffisante de l'extension des fichiers dans la fonction do_image_upload(), où les données fournies par l'utilisateur à partir du paramètre POST acceptFileTypes sont directement interpolées dans une expression régulière utilisée pour valider les fichiers téléchargés. Les attaquants peuvent spécifier des extensions exécutables par PHP telles que .phtml, .phar, .php5 ou .php7 pour contourner la protection .htaccess du plugin qui ne bloque que les fichiers .php spécifiquement. De plus, sur les serveurs basés sur Nginx, la protection .htaccess est totalement inefficace, car Nginx ne traite pas les fichiers .htaccess. Cela permet à des attaquants non authentifiés (qui peuvent obtenir un nonce à partir de toute page publique contenant un formulaire) de télécharger des fichiers PHP exécutables dans le répertoire publiquement accessible /wp-content/uploads/de_fb_uploads/ et d'obtenir une exécution de code à distance en accédant au fichier téléchargé via HTTP. La vulnérabilité a été partiellement corrigée dans la version 5.1.3.

• CVE-2026-5524-PoCExploit

  Boîte à outils d'exploitation massive pour CVE-2026-5524, une RCE par téléchargement de fichier non authentifié dans Divi Form Builder. Dispose d'un scan multi-thread, de techniques de contournement WAF, de déploiement de webshell personnalisé et d'exécution de commandes interactive.

• CVE-2026-5524-PoC