CVE-2026-39440 FunnelForms फिक्स

एक ड्रॉप-इन वर्डप्रेस प्लगइन जो FunnelForms Pro ≤ 3.8.1 में कमजोर डेमो इम्पोर्ट हैंडलर को ब्लॉक करता है ताकि रिमोट कोड एक्ज़ीक्यूशन (CVE-2026-39440, CVSS 9.9) को कम किया जा सके।

कमजोरी

मूल कारण

af2_demoimport AJAX हैंडलर (admin/menu_ajax_functions/demoimport.php) में दो घातक खामियाँ हैं:

1. हमलावर-नियंत्रित डेटा पर unserialize()

$jsonFile = file_get_contents( $imp_exp_tmp_path . 'af2_export.txt' );
$toImport = unserialize( urldecode( $jsonFile ) );

एक दुर्भावनापूर्ण af2_export.txt युक्त क्राफ्टेड ZIP फ़ाइल डिसीरियलाइज़ेशन पर PHP ऑब्जेक्ट इंजेक्शन ट्रिगर करती है — जिससे पूर्ण रिमोट कोड एक्ज़ीक्यूशन होता है।

2. $_POST['filename'] के माध्यम से पाथ ट्रैवर्सल

$filename = $_POST['filename'];
$file = pathinfo( AF2_PLUGIN_DIR . '/demos/' . $locale . '/' . $filename . '.zip' );

कोई basename() नहीं, कोई व्हाइटलिस्ट नहीं। एक हमलावर ../../../uploads/evil प्रदान करता है और demos/ निर्देशिका के बाहर से एक मनमाना ZIP खींचता है।

गायब सुरक्षा नियंत्रण

• कोई नॉन्स सत्यापन नहीं
• कोई क्षमता जाँच नहीं
• कोई इनपुट सैनिटाइज़ेशन नहीं

न्यूनतम (सब्सक्राइबर) विशेषाधिकारों वाला एक प्रमाणित उपयोगकर्ता इस श्रृंखला का शोषण कर सकता है।

इंस्टॉलेशन

नियमित प्लगइन के रूप में (अनुशंसित)

1. इस रिपॉज़िटरी को डाउनलोड या क्लोन करें
2. cve-2026-39440-funnelforms-fix फ़ोल्डर को wp-content/plugins/ पर अपलोड करें
3. इसे प्लगइन्स → इंस्टॉल किए गए प्लगइन्स में सक्रिय करें

MU-प्लगइन के रूप में (वैकल्पिक)

cve-2026-39440-fix.php को सीधे wp-content/mu-plugins/ में कॉपी करें। किसी सक्रियण की आवश्यकता नहीं है — MU-प्लगइन्स स्वचालित रूप से लोड होते हैं।

यह प्लगइन क्या करता है

कमजोर कोड पथ कभी निष्पादित नहीं होता। wp_send_json_error() आंतरिक रूप से wp_die() को कॉल करता है, इसलिए प्लगइन का हैंडलर कभी नहीं पहुँचता।

सत्यापन

सक्रियण के बाद:

1. "डेमो इम्पोर्ट" मेनू आइटम अब Funnelforms के अंतर्गत दिखाई नहीं देना चाहिए
2. admin-ajax.php?action=af2_demoimport के लिए कोई भी अनुरोध लौटाता है:
   root@kitploit:~

   {
       "success": false,
       "data": { "message": "सुरक्षा कारणों से डेमो इम्पोर्ट अस्थायी रूप से अक्षम है (CVE-2026-39440)।" }
   }
   

कब हटाएँ

इस प्लगइन को निष्क्रिय और हटाया जा सकता है जब FunnelForms Pro एक आधिकारिक पैच किया गया संस्करण (> 3.8.1) जारी करता है जो:

• unserialize() को json_decode() से बदलता है या एक सख्त अनुमतिसूची लागू करता है
• filename पैरामीटर को सैनिटाइज़ करता है (basename(), ज्ञात डेमो की अनुमतिसूची)
• नॉन्स सत्यापन और क्षमता जाँच जोड़ता है

श्रेय

• खोज और रिपोर्ट: 3ele / Sebastian Weiss
• प्रकाशित के माध्यम से: Patchstack

लाइसेंस

GPL v2 या बाद का