abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  CVE-2026-12793

CVE-2026-12793

JetFormBuilder — Dynamic Blocks Form Builder 3.6.2 — jetmonsters

WordPress के लिए JetFormBuilder — Dynamic Blocks Form Builder प्लगइन 3.6.2 तक के सभी संस्करणों में Privilege Escalation के प्रति असुरक्षित है। इसका कारण यह है कि प्लगइन यह सत्यापित नहीं करता कि सबमिट किया गया form ID किसी JetFormBuilder फ़ॉर्म से संबंधित है, इससे पहले कि वह संदर्भित पोस्ट की सामग्री को form schema के रूप में पार्स करे और एक Advanced Validation server-side callback निष्पादित करे। इससे अनधिकृत हमलावरों के लिए एक नया administrator-स्तरीय उपयोगकर्ता खाता बनाना संभव हो जाता है।

Advisory (source map से)

Advisory में _jet_engine_booking_form_id और Advanced Validation का नाम दिया गया है। वह POST फ़ील्ड Form_Handler::$form_key है। router hook स्रोत का डिफ़ॉल्ट jet_form_builder_submit=submit नहीं है; यह रैंडमाइज़्ड gfb_request_args_key/value है। PHP मेथड नाम HTTP action= नहीं हैं। REST validate-field 3.6.2 पर गलत रूट है (validate_form_post_type पहले से चलता है)।

Entry

• Method: POST
• Path: /
• Router: Form_Request_Router REQUEST[hook_key]=hook_val के लिए सुनता है। ये स्रोत के डिफ़ॉल्ट jet_form_builder_submit=submit नहीं हैं — Form_Handler::set_jfb_request_args इन्हें option jet_form_builder_settings__options-tab gfb_request_args_key / gfb_request_args_value से ओवरराइट करता है (पहली लोड पर रैंडम 6+12 अक्षर)। जो POST अभी भी jet_form_builder_submit=submit भेजता है, वह कभी मेल नहीं खाता; WP थीम HTML (~80k) रेंडर करता है। Form id फ़ील्ड अभी भी _jet_engine_booking_form_id है।
• Notes: CVE-2026-12793: set_form_id केवल absint() करता है। get_blocks_by_post किसी भी पोस्ट पर parse_blocks() करता है। Lab seed: प्रकाशित पोस्ट slug jfb-lab-carrier (post_type=post, jet-form-builder नहीं) जिसमें jet-forms फ़ील्ड + _jf_actions register_user administrator, और एक पैराग्राफ JFB_HOOK_KEY=... JFB_HOOK_VAL=... ताकि रैंडमाइज़्ड router pair सार्वजनिक REST body में हो (वही मान जो असली फ़ॉर्म hidden fields में डालता)। चरण 1 GET /?rest_route=/wp/v2/posts&slug=jfb-lab-carrier (id + hook pair)। चरण 2 POST / उस pair, method=ajax, form id, login/email/password के साथ। REST validate-field का उपयोग न करें (3.6.2 में पहले से type-check करता है)। होमपेज HTML FAIL है।

Call chain

• GET /?rest_route=/wp/v2/posts&slug=jfb-lab-carrier -> id plus JFB_HOOK_KEY / JFB_HOOK_VAL (options-tab gfb_request_args_*)
• POST / REQUEST[hook_key]=hook_val method=ajax (NOT jet_form_builder_submit=submit)
• Form_Request_Router::listen (includes/request/request-router.php) uses Form_Handler::$hook_key/$hook_val
• Form_Handler::process_form -> setup_form -> set_form_id absint only (includes/form-handler.php:150-154, 183-200, 240)
• send_form: Action_Handler::set_form_id -> set_form_actions from _jf_actions of that post (includes/actions/action-handler.php:71-117)
• Request_Handler::set_form_data -> Block_Helper::get_blocks_by_post parse_blocks any post (includes/blocks/block-helper.php:186-201; includes/request/request-handler.php:30-33)
• block-parsers Module::init_request apply those blocks (modules/block-parsers/module.php:101-119)
• Default_Process_Event runs Register_User_Action::do_action wp_insert_user with settings.user_role (modules/actions-v2/register-user/register-user-action.php:66-215)

Lab preconditions

• jetformbuilder 3.6.2 सक्रिय के साथ WordPress
• Lab seed ने एक नियमित पोस्ट slug=jfb-lab-carrier (post_type=post, jet-form-builder नहीं) प्रकाशित किया जिसमें login,email,password नाम के jet-forms/text-field ब्लॉक और _jf_actions register_user role administrator, _jf_args load_nonce=hide
• GET /?rest_route=/wp/v2/posts&slug=jfb-lab-carrier के माध्यम से id खोजें

Witness

POST JSON में status success और एक संख्यात्मक user_id होता है। अनुवर्ती GET /?rest_route=/wp/v2/users/<user_id> या बाद की सूची जिसमें login poc_12793 role administrator के साथ शामिल हो। अद्वितीय login poc_12793 ही मार्कर है — hello-world HTML नहीं।

Not success

• सामान्य 200 hello world HTML
• POST / 200 ~80k थीम HTML के साथ (router miss: अभी भी jet_form_builder_submit=submit भेज रहा है)
• admin-ajax 400 body 0
• /jet-form-builder/v1/validate-field से Invalid form ID / Invalid security signature
• status failed / nonce_failed / csrf_failed
• administrator के बजाय subscriber बनाना
• असली jet-form-builder CPT id का उपयोग करना (वह इच्छित व्यवहार है, यह CVE नहीं)

Patch / remediation

पहले यह करें: JetFormBuilder — Dynamic Blocks Form Builder को 3.6.2.1 या नए संस्करण में अपडेट करें।

अपग्रेड के बाद सत्यापित करें

• पैच किए गए बिल्ड के विरुद्ध CVE-2026-12793-Abraxas-Labs.py दोबारा चलाएँ: मैप किया गया witness नहीं दिखना चाहिए।
• तैनात ट्री में vendor advisory / changeset की पुष्टि करें (references देखें)।
• WAF सिग्नेचर देरी है, पैच नहीं।

यदि आप तुरंत अपडेट नहीं कर सकते

• प्रभावित घटक को अक्षम या अलग करें।
• उत्पादन पर witness स्थिति की खोज करें (नए विशेषाधिकार प्राप्त उपयोगकर्ता, अप्रत्याशित फ़ाइलें, इंजेक्ट की गई पंक्तियाँ — जो भी इस CVE का map नाम देता है)।

Reproduction (authorized lab)

लक्ष्य केवल http://127.0.0.1:8088 (या जो loopback आपने बाइंड किया)। इस स्क्रिप्ट को इंटरनेट की ओर निर्देशित न करें।

python3 CVE-2026-12793-Abraxas-Labs.py

सफलता प्रतिक्रिया body में ऊपर दिया गया witness है। सामान्य 200 HTML वह नहीं है।

References

• CVE-2026-12793 · NVD

• CVE-2026-12793 · CVE.org

• plugins.trac.wordpress.org/changeset/3575346/jetformbuilder

• www.wordfence.com/threat-intel/vulnerabilities/id/a61b2ecc-d4e1-4e71-9187-ddc3d3616a29?source=cve

• github.com/advisories/GHSA-579w-q4cr-j8hc

• nvd.nist.gov/vuln/detail/CVE-2026-12793

• Plugin directory: jetformbuilder

• Trac browser: plugins.trac.wordpress.org/jetformbuilder

• SVN tags: plugins.svn.wordpress.org/jetformbuilder

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

Records (structured)

# CVE-2026-12793  (structured records)

- input: `https://nvd.nist.gov/vuln/detail/CVE-2026-12793`
- CWE: CWE-269
- published: 2026-09-16T04:17:56.110

## NVD description

The JetFormBuilder — Dynamic Blocks Form Builder plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 3.6.2. This is due to the plugin not validating that a submitted form ID belongs to a JetFormBuilder form before parsing the referenced post's content as form schema and executing an Advanced Validation server-side callback. This makes it possible for unauthenticated attackers to create a new administrator-level user account.

## MITRE description

The JetFormBuilder — Dynamic Blocks Form Builder plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 3.6.2. This is due to the plugin not validating that a submitted form ID belongs to a JetFormBuilder form before parsing the referenced post's content as form schema and executing an Advanced Validation server-side callback. This makes it possible for unauthenticated attackers to create a new administrator-level user account.

## Affected

- jetmonsters JetFormBuilder — Dynamic Blocks Form Builder 0 affected

## References (JSON sources only)

- https://plugins.trac.wordpress.org/changeset/3575346/jetformbuilder
- https://www.wordfence.com/threat-intel/vulnerabilities/id/a61b2ecc-d4e1-4e71-9187-ddc3d3616a29?source=cve
- https://github.com/advisories/GHSA-579w-q4cr-j8hc
- https://nvd.nist.gov/vuln/detail/CVE-2026-12793

## GitHub advisory

The JetFormBuilder — Dynamic Blocks Form Builder plugin for WordPress is vulnerable to Privilege...

The JetFormBuilder — Dynamic Blocks Form Builder plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 3.6.2. This is due to the plugin not validating that a submitted form ID belongs to a JetFormBuilder form before parsing the referenced post's content as form schema and executing an Advanced Validation server-side callback. This makes it possible for unauthenticated attackers to create a new administrator-level user account.

Disclaimer

यह pack vendor, साइट स्वामी, और लाइसेंस प्राप्त labs के लिए है। स्क्रिप्ट 127.0.0.1 से बात करती है। उन सिस्टम के विरुद्ध इसका उपयोग करना जो आपके स्वामित्व में नहीं हैं, Abraxas Labs द्वारा अधिकृत नहीं है। कोई वारंटी नहीं।

abraxaslabs.tech · github.com/abraxas · @abraxas_null