CVE-2026-10818

WPForms Pro <= 1.10.1.1 - Écriture arbitraire de fichier non authentifiée via l'ordonnancement Init/Finalize du téléversement par fragments

CVE-2026-10818

WPForms Pro ≤ 1.10.1.1 — Écriture arbitraire de fichier non authentifiée via le téléversement par fragments

Exploit de preuve de concept
_{Ordonnancement Init/Finalize du téléversement par fragments → Exposition d'un chemin prévisible → Exécution de code à distance}

---

Présentation de la vulnérabilité

Champ	Détail
ID CVE	CVE-2026-10818
Plugin concerné	WPForms Pro (WordPress)
Versions concernées	Toutes les versions jusqu'à 1.10.1.1 incluse
Type	Écriture arbitraire de fichier non authentifiée
CWE	CWE-434 : Téléversement sans restriction d'un fichier de type dangereux
CVSS 3.1	8.1 ÉLEVÉ — CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Authentification	Aucune requise

Le plugin WPForms Pro pour WordPress est vulnérable au téléversement arbitraire de fichiers dans toutes les versions jusqu'à la 1.10.1.1 incluse, via la fonction ajax_chunk_upload_finalize. Cela est dû au fait que la validation du type de fichier intervient après que les métadonnées des fragments et le contenu des fichiers ont déjà été écrits sur le disque, et que le fichier assemblé n'est pas supprimé en cas d'échec de la validation. Il est ainsi possible pour des attaquants non authentifiés de téléverser des fichiers potentiellement exécutables, ce qui rend possible l'exécution de code à distance.

Cause racine

wpforms_upload_chunk_init     →  Metadata created BEFORE extension validation
wpforms_upload_chunk          →  Chunk bytes written regardless of init result
wpforms_file_chunks_uploaded  →  File assembled BEFORE type validation
                              →  File persists on disk even when validation fails

La chaîne de vulnérabilité exploite un défaut d'ordonnancement critique dans le cycle de vie du téléversement par fragments :

1. Init crée les métadonnées sur le disque avant de vérifier si l'extension du fichier est autorisée
2. Chunk charge les métadonnées et écrit les octets bruts vers un chemin prévisible (SHA1(UUID)-0.chunk)
3. Finalize assemble le fichier final avant de valider son type MIME — et ne nettoie pas en cas d'échec
4. Aucune vérification de nonce n'est appliquée sur les trois points de terminaison AJAX
5. Les trois routes sont enregistrées pour les visiteurs non authentifiés (wp_ajax_nopriv_*)

---

Fonctionnalités

• Scan multi-cibles — alimentez une liste de cibles, traitée en parallèle
• Découverte automatique de formulaires — parcourt les pages, les sitemaps et plus de 100 chemins courants pour localiser les champs de téléversement WPForms
• Détection de version — lit readme.txt et le code source HTML pour identifier les versions vulnérables de WPForms
• Validation des routes AJAX — confirme que wpforms_upload_chunk_init est accessible depuis l'extérieur avant de continuer
• Stratégie de téléversement double :
  • Téléversements finalisés (init → chunk → finalize) avec des extensions à la fois sûres et exécutables
  • Téléversements de fragments uniquement (init → chunk, sans finalize) pour des chemins de fichiers déterministes via SHA1(UUID)
• Calcul de chemin prévisible — calcule SHA1(UUID contrôlé par le client) pour dériver l'URL exacte du fragment sans avoir à deviner
• Diff de contenu de répertoire — prend des instantanés de /wpforms/tmp/ avant et après les téléversements exécutables pour identifier les fichiers nouvellement écrits
• Extraction de fuite de hash — analyse tous les corps de réponse et en-têtes pour détecter les motifs de noms de fichiers <32hex>.<ext>
• Vérification d'exécution — confirme l'exécution PHP réelle en recherchant une signature unique dans le corps de la réponse, en écartant les cas de service de fichiers statiques et de divulgation de code source
• Sondage PATH_INFO — tente des contournements du gestionnaire de serveur (.chunk/x.php, /.php) pour déclencher l'exécution PHP sur des extensions non-PHP
• Charges utiles polyglottes — génère des images PNG valides avec du PHP intégré après le bloc IEND
• Sortie professionnelle — affichage terminal coloré en temps réel avec suivi d'état par cible

---

Prérequis

Python >= 3.8

pip install requests urllib3 beautifulsoup4

beautifulsoup4 est optionnel mais recommandé pour une extraction plus fiable des champs de formulaire.

---

Utilisation

python CVE-2026-10818.py

Vous serez invité à fournir :

Invite	Description	Défaut
Fichier de cibles	Chemin vers un fichier texte contenant une cible par ligne	list.txt
Threads	Nombre de workers concurrents (1–20)	5

Format du fichier de cibles

https://example.com
http://target.org
subdomain.example.net
192.168.1.100
https://example.com/wordpress

Une URL par ligne. Prend en charge http://, https://, les domaines nus, les IP et les installations en sous-répertoire.

---

Sortie

Terminal

  ┏━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┓
  ┃                                                                ┃
  ┃      ██▄    ██  ██  ██                                         ┃
  ┃      ████   ██   ████                                          ┃
  ┃      ██ ██  ██    ██                                           ┃
  ┃      ██  ████   ████                                           ┃
  ┃      ██   ███  ██  ██                                          ┃
  ┃                                                                ┃
  ┃      Nxploited  ━  Khaled Alenazi  ━  T.m @Kxploit             ┃
  ┣━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┫
  ┃      CVE-2026-10818     WPForms Pro ≤ 1.10.1.1                 ┃
  ┃      Chunked Upload → Predictable Path → RCE                  ┃
  ┃      Results ━▸ Nx_hit/                                        ┃
  ┗━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┛

Pendant le scan, chaque cible progresse à travers des étapes étiquetées :

  02:14:52  ◆  target.com                        VER  WPForms 1.9.3.1 vulnerable
  02:14:53  ◆  target.com                       FORM  1 upload form(s) on /contact
  02:14:53  ◆  target.com                     UPLOAD  6 safe + 5 exec payloads
  02:14:55  ◆  target.com                        FIN  poly_png → a8f3...1b22.png URL returned
  02:14:57  ◆  target.com                        DIR  listing enabled, 4 file(s) before exec upload
  02:14:59  ◐  target.com                       EXEC  shell_php → finalized on disk (hash unknown)
  02:15:01  ◆  target.com                        DIR  1 NEW exec file(s) after upload!

  ●  target.com  SHELL  dir-new:7c4f...e8a1.php  https://target.com/wp-content/uploads/wpforms/tmp/7c4f...e8a1.php

Fichiers de résultats

Tous les résultats sont enregistrés dans Nx_hit/ :

Fichier	Contenu
Nx_shell.txt	RCE confirmée — URL, étiquette et aperçu du corps de la réponse
Nx_vuln.txt	Écriture arbitraire de fichier confirmée sans vérification d'exécution

Résumé