एडवाइज़री (स्रोत मैप से)

PHP ऑब्जेक्ट इंजेक्शन create_order में checkout owner meta पर maybe_unserialize है, न कि ajax action=। HTTP कार्ट + प्रोसेस-पेमेंट पेज हैं। PHP मेथड नाम action= नहीं हैं।

एंट्री

• Method: POST
• Path: /cart/
• Router: अनऑथ कार्ट POST (wp_loaded / admin_post_nopriv_tickera_cart पर update_cart)। Nonce action tickera_cart_page। फिर free_orders process_payment POST /process-payment/ पर tc_payment_submit के साथ। create_order owner *_post_meta को maybe_unserialize() करता है।
• Notes: CVE-2026-82226 CWE-502: Tickera 3.6.0.2 create_order attendee owner_data *post_meta (tickera.php ~3919) को maybe_unserialize() करता है। 3.6.0.3 is_serialized() owner फ़ील्ड्स को अस्वीकार करता है और tickera_sanitize_array allowed_classes=>false का उपयोग करता है। Lab seed: प्रकाशित event + free tc_tickets, show_owner_fields=yes, canary class POCWitness82226, सार्वजनिक पेज slug tc-lab-nonce जिसमें TICKET_ID= CART_NONCE= COOKIEHASH=। कार्ट कुकी tc_cart{COOKIEHASH} JSON {ticket_id:1} है। Witness HTTP बॉडी या debug.log में POCWitness82226 है — शेल नहीं। क्लास नाम 15 अक्षरों का है इसलिए पेलोड O:15: है, O:16: नहीं।

कॉल चेन

• GET /tc-lab-nonce/ → TICKET_ID CART_NONCE COOKIEHASH
• Set cookie tc_cart_{COOKIEHASH}={ticket_id:1}
• POST /cart/ cart_action=proceed_to_checkout + nonce + owner_data_first_name_post_meta[id][0]=serialized object
• TC::update_cart → save_cart_post_data owner_data को session में संग्रहीत करता है
• POST /process-payment/ tc_payment_submit (free_orders permanently_active, total 0)
• TC_Gateway_Free_Orders::process_payment → TC::create_order → maybe_unserialize(owner *_post_meta)

Lab पूर्वापेक्षाएँ

• WordPress जिसमें tickera-event-ticketing-system 3.6.0.2 सक्रिय हो
• प्रकाशित tc_events + tc_tickets price_per_ticket=0, event_name=event id
• show_owner_fields=yes ताकि owner_data *_post_meta स्वीकार किया जाए
• slug tc-lab-nonce पर सार्वजनिक TICKET_ID= CART_NONCE= COOKIEHASH=
• Lab mu-plugin canary class POCWitness82226 (wakeup/destruct नाम लॉग करते हैं; गैजेट चेन नहीं)

Witness

Response या debug.log में POCWitness82226 होता है (unserialize के दौरान इंस्टैंशिएट की गई क्लास)। Theme HTML, अमान्य cart nonce, या खाली cart ऑब्जेक्ट-इंजेक्शन witness नहीं है।

सफलता नहीं

• सामान्य 200 hello world HTML
• अमान्य cart request
• The cart is empty
• All fields marked with * are required
• unserialize / class instantiation के बिना status success
• reverse shell या outbound connect

पैच / उपचार

पहले यह करें: Tickera को 3.6.0.3 या नए संस्करण में अपडेट करें।

अपग्रेड के बाद सत्यापित करें

• पैच किए गए बिल्ड के विरुद्ध CVE-2026-82226-Abraxas-Labs.py को फिर से चलाएँ: मैप किया गया witness नहीं दिखना चाहिए।
• तैनात ट्री में विक्रेता एडवाइज़री / changeset की पुष्टि करें (संदर्भ देखें)।
• WAF सिग्नेचर देरी है, पैच नहीं।

यदि आप तुरंत अपडेट नहीं कर सकते

• प्रभावित कंपोनेंट को अक्षम या अलग करें।
• प्रोडक्शन पर witness स्थिति की खोज करें (नए विशेषाधिकार प्राप्त उपयोगकर्ता, अप्रत्याशित फ़ाइलें, इंजेक्ट की गई पंक्तियाँ — जो भी इस CVE का मैप नाम देता है)।

पुनरुत्पादन (अधिकृत lab)

लक्ष्य केवल http://127.0.0.1:8088 (या जो लूपबैक आपने बाइंड किया है)। इस स्क्रिप्ट को इंटरनेट की ओर निर्देशित न करें।

सफलता response बॉडी में ऊपर दिया गया witness है। सामान्य 200 HTML यह नहीं है।

Lab इमेज

पुनरुत्पादन के लिए उपयोग किया गया लूपबैक स्टैक। आधिकारिक इमेज, जब तक इस फ़ोल्डर में Dockerfile स्रोत से बिल्ड न करे।

• lab/docker-compose.yml
• lab/docker-compose.override.yml
• lab/Dockerfile

यदि YAML स्थानीय डायरेक्टरी माउंट करता है (संस्करण तालिका से plugin zip / source tag) तो कमजोर प्रोडक्ट ट्री को Compose के बगल में बाइंड करें। 127.0.0.1 के अलावा कुछ भी प्रकाशित न करें।

संदर्भ

• CVE-2026-82226 · NVD

• CVE-2026-82226 · CVE.org

• patchstack.com/database/wordpress/plugin/tickera-event-ticketing-system/vulnerability/wordpress-tickera-plugin-3-6-0-2-php-object-injection-vulnerability?_s_id=cve

• github.com/advisories/GHSA-v3jw-vq2p-6xp9

• nvd.nist.gov/vuln/detail/CVE-2026-82226

• Plugin directory: tickera-event-ticketing-system

• Trac browser: plugins.trac.wordpress.org/tickera-event-ticketing-system

• SVN tags: plugins.svn.wordpress.org/tickera-event-ticketing-system

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

रिकॉर्ड (संरचित)

अस्वीकरण

यह पैक विक्रेता, साइट स्वामी, और लाइसेंस प्राप्त lab के लिए है। स्क्रिप्ट 127.0.0.1 से बात करती है। उन सिस्टमों के विरुद्ध इसका उपयोग करना जो आपके स्वामित्व में नहीं हैं, Abraxas Labs द्वारा अधिकृत नहीं है। कोई वारंटी नहीं।

abraxaslabs.tech · github.com/abraxas · @abraxas_null