CVE-2026-5524

सारांश

WordPress के लिए Divi Form Builder प्लगइन, संस्करण 5.1.8 तक (5.1.8 सहित) सभी संस्करणों में Arbitrary File Upload की भेद्यता से ग्रस्त है, जो Remote Code Execution तक ले जाती है। यह do_image_upload() फ़ंक्शन में अपर्याप्त फ़ाइल एक्सटेंशन सत्यापन के कारण होता है, जहाँ acceptFileTypes POST पैरामीटर से उपयोगकर्ता-आपूर्ति इनपुट सीधे एक नियमित अभिव्यक्ति में डाला जाता है, जिसका उपयोग अपलोड की गई फ़ाइलों को मान्य करने के लिए किया जाता है। हमलावर .phtml, .phar, .php5, या .php7 जैसे PHP-निष्पादन योग्य एक्सटेंशन निर्दिष्ट कर सकते हैं, ताकि प्लगइन की .htaccess सुरक्षा को बायपास किया जा सके, जो केवल .php फ़ाइलों को विशेष रूप से ब्लॉक करती है। इसके अतिरिक्त, Nginx-आधारित सर्वरों पर, .htaccess सुरक्षा पूरी तरह से अप्रभावी है, क्योंकि Nginx .htaccess फ़ाइलों को प्रोसेस नहीं करता है। यह बिना प्रमाणीकरण वाले हमलावरों (जो किसी भी सार्वजनिक पृष्ठ से फ़ॉर्म युक्त nonce प्राप्त कर सकते हैं) के लिए निष्पादन योग्य PHP फ़ाइलों को सार्वजनिक रूप से सुलभ /wp-content/uploads/de_fb_uploads/ निर्देशिका में अपलोड करना और HTTP के माध्यम से अपलोड की गई फ़ाइल तक पहुँचकर Remote Code Execution प्राप्त करना संभव बनाता है। यह भेद्यता संस्करण 5.1.3 में आंशिक रूप से पैच की गई थी।

• CVE-2026-5524-PoCएक्सप्लॉइट

  CVE-2026-5524 के लिए मास एक्सप्लॉइट टूलकिट, जो Divi Form Builder में एक अनऑथेंटिकेटेड फ़ाइल अपलोड RCE है। इसमें मल्टी-थ्रेडेड स्कैनिंग, WAF बाईपास तकनीक, कस्टम वेबशेल डिप्लॉयमेंट और इंटरैक्टिव कमांड निष्पादन शामिल हैं।

• CVE-2026-5524-PoCएक्सप्लॉइट