Skip to content
KitploitKITPLOIT
StrumentiBlog
Invia
StrumentiBlog
Invia

Strumenti di Hacking, PenTest e Cybersecurity per il tuo Arsenale di Sicurezza!

Kitploit è una directory di strumenti di hacking, cybersecurity e pentesting. Scopri gli ultimi aggiornamenti dei progetti per trovare vulnerabilità, analizzare sistemi, automatizzare i test e rafforzare la tua sicurezza.

··Feed·Contatto·Privacy·© 2026 Kitploit

Directory degli strumenti

Categorie

Vedi tutte le categorie
Loading categories
CVE-2026-19952 — Proof-of-concept e pacchetto di divulgazione per CVE-2026-19952, una cancellazione arbitraria di file non autenticata nel plugin WordPress Frontend Admin, con passaggi di riproduzione in laboratorio. | Kitploit
Strumenti/GitHubGitHub/abraxas/cve-2026-19952
Scanner di VulnerabilitàAnalisi delle VulnerabilitàExploitSfruttamento di Applicazioni WebSicurezza WebPenetration TestingPaper e RicercaLab e Pratica
GitHubabraxas/cve-2026-19952

CVE-2026-19952

Proof-of-concept e pacchetto di divulgazione per CVE-2026-19952, una cancellazione arbitraria di file non autenticata nel plugin WordPress Frontend Admin, con passaggi di riproduzione in laboratorio.

5h 4m faNon ancora revisionato
Vedi Repository

Più Popolari

Vedi tutti →

Scopri gli strumenti più utilizzati dalla nostra community.

Esplora tutti gli strumenti

Sfoglia la nostra collezione di strumenti

Vedi tutti gli strumenti →
Condividi

Abraxas Labs — CVE-2026-19952 — WordPress

abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  CVE-2026-19952

CVE-2026-19952 — WordPress

WordPress — Frontend Admin by DynamiApps 3.29.12 — DynamiApps

Il plugin Frontend Admin by DynamiApps per WordPress è vulnerabile alla cancellazione arbitraria di file a causa di una validazione insufficiente del percorso dei file nella funzione move_folders in tutte le versioni fino alla 3.29.12 inclusa. Ciò consente ad attaccanti non autenticati di cancellare file arbitrari sul server, il che può facilmente portare all'esecuzione di codice in remoto quando viene cancellato il file giusto (come wp-config.php). Questo è sfruttabile senza autenticazione quando un form è configurato con visibilità pubblica (who_can_see='all'), poiché il nonce richiesto è ottenibile pubblicamente dal form renderizzato.

CVECVE-2026-19952 · CVE.org
CWECWE-22
CVSSHigh: 7.5 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
ProdottoWordPress — Frontend Admin by DynamiApps
Affettotutte le versioni fino alla 3.29.12 (inclusa)
Corretto3.29.13 e successive
Authnessuna (vedi source map)
LicenzaGNU Affero GPL v3.0
Labsolo 127.0.0.1 · pacchetto di disclosure per vendor/client, non uno scanner

Advisory (dalla source map)

move_folders è il sink, agganciato su acf/pre_update_value/type=upload_files (gallery), non upload_file. HTTP è admin-ajax.php action=frontend_admin/form_submit. Il merge tag è [post:title] dal post_title inviato.

Entry

  • Metodo: POST
  • Percorso: /wp-admin/admin-ajax.php
  • Router: wp_ajax_nopriv_frontend_admin/form_submit. upload_files pre_update_value -> move_folders. Il merge tag custom_directory_name [post:title] prende il post_title dell'attaccante. Il percorso è uploads/basedir + dir_name senza containment. unlink(upload_dir/index.php) quando secure_directory è disattivato. 3.29.13 aggiunge get_safe_upload_dir.
  • Note: CVE-2026-19952 CWE-22 Frontend Admin 3.29.12. Il witness è POCWitness19952 che scompare da GET /wp-content/poc19952/index.php dopo il POST. Un generico JSON di successo del form senza la cancellazione non è sufficiente.

Catena di chiamate

  • GET /wp-content/poc19952/index.php expect POCWitness19952
  • GET /fea-files-lab/ harvest hiddens and field keys
  • POST /wp-admin/admin-ajax.php action=frontend_admin/form_submit acff[post][title]=../poc19952 acff[post][files]=1
  • check_submit_form nopriv + who_can_see=all
  • create_record post_title _input=../poc19952
  • ActionPost::run acf_update_value on upload_files field
  • move_folders get_dynamic_values([acf:post_title]) -> ../poc19952
  • upload_dir = basedir/../poc19952 = wp-content/poc19952
  • unlink wp-content/poc19952/index.php
  • GET /wp-content/poc19952/index.php no POCWitness19952

Precondizioni del lab

  • Frontend Admin 3.29.12 (3.29.13 aggiunge get_safe_upload_dir)
  • admin_form pubblicato con who_can_see=all, save_to_post=new_post, post_title + upload_files con custom_directory e custom_directory_name=[acf:post_title]
  • pagina pubblica /fea-files-lab/
  • wp-content/poc19952/index.php restituisce POCWitness19952

Witness

Prima del POST, GET /wp-content/poc19952/index.php contiene POCWitness19952. Dopo il POST quella stringa non c'è più (404). Il solo JSON di successo del form non è sufficiente.

Non è successo

  • JSON di successo ajax senza la scomparsa del file
  • POCWitness19952 ancora presente dopo il POST
  • 403/404 sul form senza un witness 200 precedente
  • cancellazione di wp-config.php
  • reverse shell o connessione in uscita

Patch / remediation

Fai questo prima: Aggiorna Frontend Admin by DynamiApps alla 3.29.13 o successiva (get_safe_upload_dir).

Verifica dopo l'aggiornamento

  • Riesegui CVE-2026-19952-Abraxas-Labs.py contro la build corretta: il witness mappato non deve apparire.
  • Conferma l'advisory del vendor / il changeset nell'albero distribuito (vedi riferimenti).
  • Una firma WAF è un ritardo, non una patch.

Se non puoi aggiornare immediatamente

  • Disabilita o isola il componente interessato.
  • Cerca la condizione del witness in produzione (nuovi utenti privilegiati, file inattesi, righe iniettate — qualunque cosa indichi la mappa di questa CVE).

Riproduzione (lab autorizzato)

Target solo http://127.0.0.1:8088 (o il loopback su cui hai fatto il bind). Non puntare questo script verso internet.

root@kitploit:~
python3 CVE-2026-19952-Abraxas-Labs.py

Il successo è il witness sopra nel corpo della risposta. Un generico 200 HTML non è sufficiente.

Immagini del lab

Stack loopback usato per la riproduzione. Immagini ufficiali a meno che un Dockerfile in questa cartella non venga compilato dai sorgenti.

  • lab/docker-compose.yml
  • lab/docker-compose.override.yml
  • lab/Dockerfile
root@kitploit:~
cd lab
docker compose up --force-recreate

Collega l'albero del prodotto vulnerabile accanto a Compose se lo YAML monta una directory locale (zip del plugin / tag sorgente dalla tabella delle versioni). Non pubblicare nulla tranne 127.0.0.1.

Riferimenti

  • CVE-2026-19952 · NVD

  • CVE-2026-19952 · CVE.org

  • plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/fields/general/class-upload-file.php#L1014

  • plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/fields/general/class-upload-file.php#L1044

  • plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/fields/general/class-upload-file.php#L1047

  • plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/forms/classes/shortcodes.php#L99

  • plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/forms/classes/submit.php#L125

  • plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/forms/classes/submit.php#L276

  • plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.13/main/frontend/fields/general/class-upload-file.php#L1047

  • www.wordfence.com/threat-intel/vulnerabilities/id/55ec5101-6494-4180-9492-03863e839ad2?source=cve

  • github.com/advisories/GHSA-3rrx-59q7-9g4m

  • nvd.nist.gov/vuln/detail/CVE-2026-19952

  • Directory dei plugin: acf-frontend-form-element

  • Browser Trac: plugins.trac.wordpress.org/acf-frontend-form-element

  • Tag SVN: plugins.svn.wordpress.org/acf-frontend-form-element

  • Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

Record (strutturati)

root@kitploit:~
# CVE-2026-19952  (structured records)

- input: `https://nvd.nist.gov/vuln/detail/CVE-2026-19952`
- CWE: CWE-22
- published: 2026-09-01T05:17:09.747

## NVD description

The Frontend Admin by DynamiApps plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the move_folders function in all versions up to, and including, 3.29.12. This makes it possible for unauthenticated attackers to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php). This is exploitable without authentication when a form is configured with public visibility (who_can_see='all'), as the required nonce is publicly obtainable from the rendered form.

## MITRE description

error: <urlopen error [Errno 8] nodename nor servname provided, or not known>

## Affected


## References (JSON sources only)

- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/fields/general/class-upload-file.php#L1014
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/fields/general/class-upload-file.php#L1044
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/fields/general/class-upload-file.php#L1047
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/forms/classes/shortcodes.php#L99
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/forms/classes/submit.php#L125
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.10/main/frontend/forms/classes/submit.php#L276
- https://plugins.trac.wordpress.org/browser/acf-frontend-form-element/tags/3.29.13/main/frontend/fields/general/class-upload-file.php#L1047
- https://www.wordfence.com/threat-intel/vulnerabilities/id/55ec5101-6494-4180-9492-03863e839ad2?source=cve
- https://github.com/advisories/GHSA-3rrx-59q7-9g4m
- https://nvd.nist.gov/vuln/detail/CVE-2026-19952

## GitHub advisory

The Frontend Admin by DynamiApps plugin for WordPress is vulnerable to arbitrary file deletion...

The Frontend Admin by DynamiApps plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the move_folders function in all versions up to, and including, 3.29.12. This makes it possible for unauthenticated attackers to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php). This is exploitable without authentication when a form is configured with public visibility (who_can_see='all'), as the required nonce is publicly obtainable from the rendered form.

Licenza

Questo pacchetto di disclosure è rilasciato sotto la GNU Affero General Public License v3.0. Vedi LICENSE.

Disclaimer

Questo pacchetto è destinato al vendor, al proprietario del sito e ai lab autorizzati. Lo script comunica con 127.0.0.1. Usarlo contro sistemi di cui non sei proprietario non è autorizzato da Abraxas Labs. Nessuna garanzia.

abraxaslabs.tech · github.com/abraxas · @abraxas_null

Scarica lo strumento