तकनीकी विश्लेषण (मिरर कोड v3.1.8.4 से)

1. सार्वजनिक नॉन्स — includes/modules/FilterPosts/FilterPosts.php:1759 wp_create_nonce('filter_object') बनाता है और इसे wp_localize_script (filter_ajax_object.security) के माध्यम से उस स्क्रिप्ट पर चिपकाता है जो सभी आगंतुकों के लिए enqueue होती है (wp_enqueue_scripts)। नॉन्स कोई बाधा नहीं है: हर आगंतुक के पास इसकी एक प्रति होती है।
2. बिना प्रमाणीकरण एंट्री पॉइंट — filter_ajax.php:3406-3407 और loadmore_ajax.php:569-570 wp_ajax_nopriv_* (बिना लॉगिन) के साथ हैंडलर पंजीकृत करते हैं।
3. बिना सैनिटाइज़ेशन इनपुट — filter_ajax.php:114-133 (loadmore: 73-91): $loop_var = json_decode(sanitize_text_field($_POST['loop_var'])), फिर $custom_loop_template = $loop_var['custom_loop_template'] शब्दशः — बिना basename(), बिना व्हाइटलिस्ट, बिना realpath जाँच।
4. सिंक — filter_ajax.php:2871-2873 (loadmore: 344-346):
   root@kitploit:~

   if ($loop_templates == 'custom-template') {
       if (file_exists(get_stylesheet_directory() . '/divi-ajax-filter/loop-templates/' . $custom_loop_template)) {
           include(get_stylesheet_directory() . '/divi-ajax-filter/loop-templates/' . $custom_loop_template);
   

   शर्त: अनुरोध को गैर-WooCommerce शाखा में प्रवेश करना चाहिए (JSON query से $posttype स्वतंत्र है, कोई allow-list नहीं) और क्वेरी को >= 1 पोस्ट उत्पन्न करना चाहिए।
5. ट्रैवर्सल गहराई — आधार निर्देशिका = <webroot>/wp-content/themes/<theme>/divi-ajax-filter/loop-templates/ → webroot पर वापस जाने के लिए ../../../../../ (5×) की आवश्यकता है। महत्वपूर्ण नोट: यदि पथ प्रीफ़िक्स घटक मौजूद नहीं है तो file_exists()/include() चुपचाप विफल हो जाते हैं — थीम के अंदर divi-ajax-filter/loop-templates/ निर्देशिका मौजूद होनी चाहिए (यह प्लगइन का प्रलेखित कस्टम-टेम्पलेट ढांचा है, इसलिए यह आमतौर पर उन साइटों पर मौजूद होता है जो इस सुविधा का उपयोग करती हैं; उस निर्देशिका के बिना ट्रैवर्सल प्रभावी रूप से अवरुद्ध हो जाता है)।
6. RCE — यदि हमलावर सर्वर पर .php रख सकता है (author अधिकार वाला उपयोगकर्ता अपलोड, ढीली अपलोड कॉन्फ़िगरेशन, अन्य प्लगइन), तो अपलोड फ़ाइल को include करना = कोड निष्पादन।

निर्देशिका संरचना

लैब चलाना

PoC / लाइव स्कैनर (कोई मोड नहीं — सभी लक्ष्य लाइव माने जाते हैं)

• बिना scheme वाले डोमेन स्वतः http:// बन जाते हैं; स्वतः dedupe; परिणाम तुरंत इंक्रीमेंटल रूप से results_cve-2026-11613.csv में लिखे जाते हैं (Ctrl-C सुरक्षित, आंशिक परिणाम सहेजे जाते हैं)।
• प्रति लक्ष्य स्थिति: VULN: LFI / VULN: LFI+RCE (हरा), not-confirmed (पीला), NO-NONCE / NO-PLUGIN (सियान), UNREACHABLE / ERROR (लाल)।
• --no-color / env NO_COLOR सादे आउटपुट के लिए; पाइप किए जाने पर रंग स्वतः बंद हो जाते हैं।
• Exit कोड: 0 = कमजोर लक्ष्य मौजूद है, 1 = कोई नहीं, 130 = बाधित।

WayangXploit — वन-शॉट (कैनरी रोपें + स्वचालित RCE सत्यापन)

एक कमांड: लॉगिन → कैनरी WayangXploit रोपें (छोटा निष्क्रिय प्लगइन, केवल PoC: मार्कर+uid+uname प्रिंट करें फिर exit, वेबशेल नहीं, बिना cmd पैरामीटर) → सत्यापित करें → बिना प्रमाणीकरण LFI स्वीप → RCE निर्णय। स्वतः: https-upgrade, SSL बायपास, redirect-preserving POST। सफाई: परीक्षण के बाद wp-admin में "WayangXploit Canary" + "Divi Compat Shim" प्लगइन हटाएं।

poc_http.py अब डिफ़ॉल्ट रूप से --upload-marker WayangXploit-RCE-CONFIRMED है (इसलिए केवल --upload-rel / --upload-name पर्याप्त है)।

लैब सत्यापन परिणाम (वास्तविक, HTTP प्रतिक्रिया से)

लाइव लक्ष्य पर शोषण की शर्तें (जिन्हें live_scan.py जाँचता है):

1. Divi Ajax Filter प्लगइन <= 5.1.2 सक्रिय है (recon: प्लगइन की मुख्य फ़ाइल तक सीधी पहुँच)।
2. filter_object नॉन्स सार्वजनिक पृष्ठ पर उजागर होता है (मॉड्यूल स्क्रिप्ट enqueue होती है)।
3. <theme>/divi-ajax-filter/loop-templates/ मौजूद है (प्रीफ़िक्स्ड ट्रैवर्सल को इसकी आवश्यकता है)।
4. RCE के लिए: एक .php फ़ाइल मौजूद है जिस तक हमलावर पहुँच सकता है (जैसे अपलोड परिणाम) — केवल LFI फिर भी प्रभावशाली है (किसी भी .php फ़ाइल पर जानकारी प्रकटीकरण / प्रमाणीकरण बायपास)।