abraxas/cve-2026-12793CVE-2026-12793 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, जो WordPress JetFormBuilder में 3.6.2 तक एक अनऑथेंटिकेटेड प्रिविलेज एस्केलेशन है जो एडमिनिस्ट्रेटर अकाउंट बनाता है।
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · CVE-2026-12793
JetFormBuilder 3.6.2 - jetmonsters
मैं @abraxas_null हूँ। लूपबैक लैब। क्लाइंट CVE-2026-12793-Abraxas-Labs.py है।
एडवाइज़री ने एक फ़ील्ड का नाम लिया। _jet_engine_booking_form_id एक POST फ़ील्ड है, HTTP action= नहीं। set_form_id केवल absint() करता है। get_blocks_by_post किसी भी पोस्ट को पार्स करता है। सही ब्लॉक्स वाली एक नियमित पोस्ट और _jf_actions register-user administrator काफ़ी है। लाइव राउटर हुक सोर्स डिफ़ॉल्ट jet_form_builder_submit=submit नहीं है। 3.6.2.1 में पैच किया गया।
| CVE | CVE-2026-12793 · CVE.org |
| CWE | CWE-269 |
| CVSS | Critical: 9.8 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Product | JetFormBuilder - Dynamic Blocks Form Builder |
| Affected | सभी वर्शन 3.6.2 तक (सम्मिलित) |
| Patched | 3.6.2.1 और बाद के |
| Auth | कोई नहीं |
| License | GNU Affero GPL v3.0 |
| Lab | केवल 127.0.0.1 |
लाइव हुक पेयर, उस पोस्ट आईडी, और login/email/password के साथ अनऑथेंटिकेटेड POST /। JSON status: success और एक संख्यात्मक user_id। वह उपयोगकर्ता एक administrator है। उपयोगकर्ता बनाना ही प्रमाण है।
Wordfence ने _jet_engine_booking_form_id का नाम लिया। मैंने set_form_id, फिर get_blocks_by_post, फिर action handler पढ़ा। ऑप्शन टेबल पहले लोड पर राउटर पेयर को फिर से लिखती है।
एक विज़िटर की तरह पेयर खोजें: कैरियर पोस्ट के लिए सार्वजनिक REST दस्तावेज़ GET करें। method=ajax, लाइव हुक पेयर, और फ़ॉर्म आईडी के साथ POST /। छोटा JSON, कुछ दसियों बाइट्स। यदि आप अभी भी एक DOCTYPE पढ़ रहे हैं, तो आप अभी भी खोए हुए हैं।
गलत मोड़: jet_form_builder_submit=submit ~80k थीम HTML लौटाता है; REST /jet-form-builder/v1/validate-field 3.6.2 पर गलत दरवाज़ा है; nonce से लड़ना (load_nonce=hide, फ़िक्स्चर पर use_csrf=false); एक subscriber क्योंकि _jf_actions user_role administrator नहीं था (सीड मिस, पैच नहीं); एक असली jet-form-builder CPT आईडी सबमिट करना (उत्पाद काम कर रहा है)।
पोर्ट 8088। JetFormBuilder 3.6.2। कैरियर पोस्ट स्लग jfb-lab-carrier (post, jet-form-builder नहीं) जिसमें हुक पेयर REST में प्रिंट होता है।
लक्ष्य केवल 127.0.0.1:8088 (या जो लूपबैक आपने बाइंड किया है)।
cd lab
docker compose up --force-recreate
python3 ../CVE-2026-12793-Abraxas-Labs.py
प्रमाण: JSON {"user_id":N,"status":"success"} और /wp/v2/users/<id> administrator है। थीम HTML यह नहीं है।
बिना कुछ सीखे खोने के तरीके:
/ 200, ~80k HTML, डिफ़ॉल्ट हुकJetFormBuilder को 3.6.2.1 या नए में अपडेट करें। पैच किए गए बिल्ड के विरुद्ध CVE-2026-12793-Abraxas-Labs.py को फिर से चलाएँ: administrator user_id प्रकट नहीं होना चाहिए।
www.wordfence.com/threat-intel/vulnerabilities/id/a61b2ecc-d4e1-4e71-9187-ddc3d3616a29?source=cve
Plugin directory: jetformbuilder
Trac browser: plugins.trac.wordpress.org/jetformbuilder
SVN tags: plugins.svn.wordpress.org/jetformbuilder
Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null
GNU Affero GPL v3.0। देखें LICENSE।
क्लाइंट लूपबैक से बात करता है। उन सिस्टम्स के विरुद्ध इसका उपयोग करना जिनके आप स्वामी नहीं हैं, Abraxas Labs द्वारा अधिकृत नहीं है। कोई वारंटी नहीं।