Advisory (source map से)

Query variable injection, Webhook::parse_request द्वारा $_GET को merge करना है, न कि कोई ajax action=। HTTP, GET / है जिसमें अतिरिक्त query keys होती हैं।

Entry

• Method: GET
• Path: /?page_id=4&shortcode_tags[blcpoc]=poc_witness_18937
• Router: Plain permalinks। Webhook::parse_request, sanitize_array($_GET) को $wp->query_vars में merge करता है। WP::register_globals उन keys को $GLOBALS में कॉपी करता है, जिससे $shortcode_tags बदल जाता है। फिर front page the_content('[blcpoc]') द्वारा call_user_func(poc_witness_18937) किया जाता है। Sidebar widgets का उपयोग नहीं किया जा सकता: wp_get_sidebars_widgets() front पर options से पुनः लोड करता है। Lab canary, shell नहीं।
• Notes: CVE-2026-18937 CWE-94: Broken Link Checker 2.4.11। 2.4.12 $_GET merge को हटा देता है। इसके लिए खाली permalink_structure और एक classic theme आवश्यक है जो dynamic_sidebar को कॉल करता हो। Witness, HTTP body में POCWitness18937 है।

Call chain

• GET /?page_id=<front page id>&shortcode_tags[blcpoc]=poc_witness_18937
• Webhook::parse_request (plain permalinks) → $wp->query_vars += $_GET
• WP::register_globals → $GLOBALS['shortcode_tags']['blcpoc']=poc_witness_18937
• the_content('[blcpoc]') → poc_witness_18937() → POCWitness18937

Lab preconditions

• Broken Link Checker 2.4.11 सक्रिय
• permalink_structure खाली (plain permalinks)
• Classic theme Twenty Twenty-One (sidebar-1 / dynamic_sidebar)
• mu-plugin function poc_witness_18937 (lab canary, gadget chain नहीं)

Witness

HTTP body में POCWitness18937 होता है। उस string के बिना सामान्य home HTML, यह नहीं है।

Not success

• सामान्य 200 hello world / block theme home HTML
• pretty permalinks (merge छोड़ दिया जाता है)
• witness के बिना 403/404
• reverse shell या outbound connect
• system()/exec() PHP payload

Patch / remediation

पहले यह करें: Broken Link Checker को 2.4.12 या नए संस्करण में अपडेट करें।

अपग्रेड के बाद सत्यापित करें

• पैच किए गए build के विरुद्ध CVE-2026-18937-Abraxas-Labs.py को फिर से चलाएँ: mapped witness नहीं दिखना चाहिए।
• तैनात tree में vendor advisory / changeset की पुष्टि करें (references देखें)।
• WAF signature एक विलंब है, patch नहीं।

यदि आप तुरंत अपडेट नहीं कर सकते

• प्रभावित component को अक्षम या अलग करें।
• production पर witness स्थिति की तलाश करें (नए privileged users, अप्रत्याशित files, injected rows — जो भी इस CVE का map नाम देता है)।

Reproduction (authorized lab)

केवल http://127.0.0.1:8088 (या जिस loopback को आपने bind किया है) को लक्षित करें। इस script को इंटरनेट की ओर निर्देशित न करें।

सफलता response body में ऊपर दिया गया witness है। सामान्य 200 HTML यह नहीं है।

Lab images

प्रतिलिपि बनाने के लिए उपयोग किया गया loopback stack। आधिकारिक images, जब तक कि इस फ़ोल्डर में कोई Dockerfile source से build न करता हो।

• lab/docker-compose.yml
• lab/docker-compose.override.yml
• lab/Dockerfile

यदि YAML किसी स्थानीय directory को mount करता है (version table से plugin zip / source tag), तो vulnerable product tree को Compose के बगल में bind करें। 127.0.0.1 के अलावा कुछ भी publish न करें।

References

• CVE-2026-18937 · NVD

• CVE-2026-18937 · CVE.org

• wpscan.com/vulnerability/a23b76eb-107d-4e02-8eae-c3c5fa5b003d/

• github.com/advisories/GHSA-c2xc-88v3-37g2

• nvd.nist.gov/vuln/detail/CVE-2026-18937

• wpscan.com/vulnerability/a23b76eb-107d-4e02-8eae-c3c5fa5b003d

• Plugin directory: broken-link-checker

• Trac browser: plugins.trac.wordpress.org/broken-link-checker

• SVN tags: plugins.svn.wordpress.org/broken-link-checker

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

Records (structured)

License

यह disclosure pack GNU Affero General Public License v3.0 के अंतर्गत लाइसेंस प्राप्त है। LICENSE देखें।

Disclaimer

यह pack vendor, site owner, और licensed labs के लिए है। Script 127.0.0.1 से बात करता है। जिन systems के आप स्वामी नहीं हैं, उनके विरुद्ध इसका उपयोग Abraxas Labs द्वारा अधिकृत नहीं है। कोई वारंटी नहीं।

abraxaslabs.tech · github.com/abraxas · @abraxas_null