Advisory (source map से)

Advisory में move_file का नाम दिया गया है। यह एक private PHP method है, HTTP action= नहीं। HTTP action gfmu-plupload-submit है। Chunked बनाम non-chunked का अर्थ है REQUEST[chunks]>1। PHP फ़ंक्शन नाम admin-ajax action= नहीं होते।

Entry

• Method: POST
• Path: /wp-admin/admin-ajax.php
• Router: wp_ajax_nopriv_gfmu-plupload-submit → GFMUHandlePluploader::plupload_ajax_submit. Nonce फ़ील्ड action gfmu-upload-nonce के लिए REQUEST[nonce] है। कोई भिन्न ajax action न गढ़ें।
• Notes: CVE-2026-87796: chunked handleUpload (REQUEST chunks>1) validateUploadedFile से पहले move_file के साथ assembled फ़ाइल को कॉपी करता है। Non-chunked पहले validate करता है। फ़ील्ड के बिना, enable_chunked false है और toBytes(ini 2M) < sizeLimit 10mb किसी भी write से पहले 'try activate chunking' लौटाता है। Lab stub RGFormsModel::get_field एक multi-uploader फ़ील्ड लौटाता है जिसमें chunk_size=2mb है ताकि वह जाँच छूट जाए। currentFormID=1 और currentFieldID=1 भेजें। पेज slug gfmu-lab-nonce से nonce खोजें। Witness: GET /wp-content/uploads/gfmu-uploads-tmp/poc_witness.php में POC_WITNESS_87796 होता है (GIF89a + echo, shell नहीं)। दो chunk POST फिर GET।

Call chain

• POST /wp-admin/admin-ajax.php action=gfmu-plupload-submit (nopriv, GFMUAddon.class.php:125)
• GFMUHandlePluploader::plupload_ajax_submit nonce gfmu-upload-nonce (GFMUHandlePluploader.class.php:257-262)
• GFMU_FileUploader::handleUpload chunks>1 (GFMU_FileUploader.php:231-319)
• move_file copy then unlink tmp (GFMU_FileUploader.php:319, 545-560)
• validateUploadedFile only AFTER the file is already at $target (322) — unlike non-chunked which validates first (375)
• GET /wp-content/uploads/gfmu-uploads-tmp/<name> for POC_WITNESS_87796

Lab preconditions

• gf-multi-uploader 1.1.9 सक्रिय के साथ WordPress
• Lab GF stub mu-plugin ताकि GFForms मौजूद हो और nopriv AJAX रजिस्टर हो
• uid 0 के लिए GFMU_NONCE= के साथ सार्वजनिक पेज slug gfmu-lab-nonce
• currentFormID न भेजें (कोई वास्तविक Gravity Forms फ़ॉर्म नहीं)

Witness

अपलोड की गई फ़ाइल का HTTP GET अद्वितीय स्ट्रिंग POC_WITNESS_87796 लौटाता है। JSON result=success के साथ वह GET SUCCESS है। Theme HTML, admin-ajax 0, या Server error नहीं। nonce fail यह नहीं है।

Not success

• सामान्य 200 hello world HTML
• admin-ajax 400 body 0
• result error / Server error. nonce
• अमान्य extension बिना किसी फ़ाइल के जो फिर भी witness को GET करे
• reverse shell या outbound connect
• एक अनुमत jpg/png अपलोड करना जो arbitrary-type sink नहीं है

Patch / remediation

पहले यह करें: Multi Uploader for Gravity Forms के लिए vendor patch लागू करें। संदर्भ देखें।

अपग्रेड के बाद सत्यापित करें

• patched build के विरुद्ध CVE-2026-87796-Abraxas-Labs.py पुनः चलाएँ: mapped witness नहीं दिखना चाहिए।
• deployed tree में vendor advisory / changeset की पुष्टि करें (संदर्भ देखें)।
• WAF signature देरी है, patch नहीं।

यदि आप तुरंत अपडेट नहीं कर सकते

• प्रभावित घटक को अक्षम या अलग करें।
• production पर witness स्थिति की खोज करें (नए privileged उपयोगकर्ता, अप्रत्याशित फ़ाइलें, injected rows — जो भी इस CVE का map नाम देता है)।

Reproduction (authorized lab)

लक्ष्य केवल http://127.0.0.1:8088 (या जो loopback आपने बाइंड किया)। इस स्क्रिप्ट को इंटरनेट की ओर निर्देशित न करें।

सफलता response body में ऊपर दिया गया witness है। सामान्य 200 HTML यह नहीं है।

Lab images

प्रतिलिपि के लिए उपयोग किया गया loopback stack। आधिकारिक images जब तक इस फ़ोल्डर में Dockerfile स्रोत से build न करे।

• lab/docker-compose.yml
• lab/docker-compose.override.yml
• lab/Dockerfile

यदि YAML एक स्थानीय निर्देशिका माउंट करता है (version table से plugin zip / source tag) तो Compose के बगल में संवेदनशील product tree बाइंड करें। 127.0.0.1 के अलावा कुछ भी प्रकाशित न करें।

References

• CVE-2026-87796 · NVD

• CVE-2026-87796 · CVE.org

• plugins.trac.wordpress.org/browser/gf-multi-uploader/tags/1.1.9/GFMUAddon.class.php#L125

• plugins.trac.wordpress.org/browser/gf-multi-uploader/tags/1.1.9/inc/GFMUHandlePluploader.class.php#L257

• plugins.trac.wordpress.org/browser/gf-multi-uploader/tags/1.1.9/inc/GFMU_FileUploader.php#L319

• plugins.trac.wordpress.org/browser/gf-multi-uploader/tags/1.1.9/inc/GFMU_FileUploader.php#L322

• plugins.trac.wordpress.org/browser/gf-multi-uploader/tags/1.1.9/inc/GFMU_FileUploader.php#L560

• www.wordfence.com/threat-intel/vulnerabilities/id/47337bc1-fa3d-470c-9524-859295261017?source=cve

• github.com/advisories/GHSA-h7vp-g8q2-89c8

• nvd.nist.gov/vuln/detail/CVE-2026-87796

• Plugin directory: gf-multi-uploader

• Trac browser: plugins.trac.wordpress.org/gf-multi-uploader

• SVN tags: plugins.svn.wordpress.org/gf-multi-uploader

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

Records (structured)

Disclaimer

यह pack vendor, साइट owner, और licensed labs के लिए है। स्क्रिप्ट 127.0.0.1 से बात करती है। उन सिस्टम के विरुद्ध इसका उपयोग करना जो आपके स्वामित्व में नहीं हैं, Abraxas Labs द्वारा अधिकृत नहीं है। कोई वारंटी नहीं।

abraxaslabs.tech · github.com/abraxas · @abraxas_null