Advisory (dalla source map)

L'advisory nomina move_file. Si tratta di un metodo PHP privato, non di un HTTP action=. L'HTTP action è gfmu-plupload-submit. Chunked vs non-chunked è REQUEST[chunks]>1. I nomi delle funzioni PHP non sono admin-ajax action=.

Entry

• Method: POST
• Path: /wp-admin/admin-ajax.php
• Router: wp_ajax_nopriv_gfmu-plupload-submit → GFMUHandlePluploader::plupload_ajax_submit. Il campo nonce è REQUEST[nonce] per l'action gfmu-upload-nonce. Non inventare un ajax action diverso.
• Notes: CVE-2026-87796: handleUpload a chunk (REQUEST chunks>1) copia il file assemblato con move_file PRIMA di validateUploadedFile. La modalità non-chunked valida prima. Senza un campo, enable_chunked è false e toBytes(ini 2M) < sizeLimit 10mb restituisce 'try activate chunking' prima di qualsiasi scrittura. Lo stub di lab RGFormsModel::get_field restituisce un campo multi-uploader con chunk_size=2mb così quel controllo viene saltato. Inviare currentFormID=1 e currentFieldID=1. Scoprire il nonce dalla pagina con slug gfmu-lab-nonce. Witness GET /wp-content/uploads/gfmu-uploads-tmp/poc_witness.php contiene POC_WITNESS_87796 (GIF89a + echo, non una shell). Due POST a chunk poi GET.

Call chain

• POST /wp-admin/admin-ajax.php action=gfmu-plupload-submit (nopriv, GFMUAddon.class.php:125)
• GFMUHandlePluploader::plupload_ajax_submit nonce gfmu-upload-nonce (GFMUHandlePluploader.class.php:257-262)
• GFMU_FileUploader::handleUpload chunks>1 (GFMU_FileUploader.php:231-319)
• move_file copy then unlink tmp (GFMU_FileUploader.php:319, 545-560)
• validateUploadedFile only AFTER the file is already at $target (322) — unlike non-chunked which validates first (375)
• GET /wp-content/uploads/gfmu-uploads-tmp/<name> for POC_WITNESS_87796

Lab preconditions

• WordPress con gf-multi-uploader 1.1.9 attivo
• Stub GF mu-plugin di lab in modo che GFForms esista e l'AJAX nopriv si registri
• Pagina pubblica con slug gfmu-lab-nonce con GFMU_NONCE= per uid 0
• Non passare currentFormID (nessun form Gravity Forms reale)

Witness

L'HTTP GET del file caricato restituisce la stringa univoca POC_WITNESS_87796. JSON result=success più quel GET è SUCCESS. HTML del tema, admin-ajax 0, o Server error. nonce fail non è questo.

Not success

• generico 200 hello world HTML
• admin-ajax 400 body 0
• result error / Server error. nonce
• estensione non valida senza un file che comunque esegue il GET del witness
• una reverse shell o connessione in uscita
• caricare un jpg/png consentito che non è il sink di tipo arbitrario

Patch / remediation

Fai questo prima: Applica la patch del vendor per Multi Uploader for Gravity Forms. Vedi riferimenti.

Verifica dopo l'aggiornamento

• Riesegui CVE-2026-87796-Abraxas-Labs.py contro la build corretta: il witness mappato non deve apparire.
• Conferma l'advisory del vendor / il changeset nell'albero distribuito (vedi riferimenti).
• Una firma WAF è un ritardo, non una patch.

Se non puoi aggiornare immediatamente

• Disabilita o isola il componente interessato.
• Cerca la condizione witness in produzione (nuovi utenti privilegiati, file inattesi, righe iniettate — qualunque cosa indichi la mappa di questa CVE).

Reproduction (lab autorizzato)

Target solo http://127.0.0.1:8088 (o il loopback su cui hai fatto il bind). Non puntare questo script verso internet.

Il successo è il witness sopra nel corpo della risposta. Un generico 200 HTML non è questo.

Lab images

Stack loopback usato per la riproduzione. Immagini ufficiali a meno che un Dockerfile in questa cartella non compili dal sorgente.

• lab/docker-compose.yml
• lab/docker-compose.override.yml
• lab/Dockerfile

Collega l'albero del prodotto vulnerabile accanto a Compose se lo YAML monta una directory locale (zip del plugin / tag del sorgente dalla tabella delle versioni). Non pubblicare nulla tranne 127.0.0.1.

References

• CVE-2026-87796 · NVD

• CVE-2026-87796 · CVE.org

• plugins.trac.wordpress.org/browser/gf-multi-uploader/tags/1.1.9/GFMUAddon.class.php#L125

• plugins.trac.wordpress.org/browser/gf-multi-uploader/tags/1.1.9/inc/GFMUHandlePluploader.class.php#L257

• plugins.trac.wordpress.org/browser/gf-multi-uploader/tags/1.1.9/inc/GFMU_FileUploader.php#L319

• plugins.trac.wordpress.org/browser/gf-multi-uploader/tags/1.1.9/inc/GFMU_FileUploader.php#L322

• plugins.trac.wordpress.org/browser/gf-multi-uploader/tags/1.1.9/inc/GFMU_FileUploader.php#L560

• www.wordfence.com/threat-intel/vulnerabilities/id/47337bc1-fa3d-470c-9524-859295261017?source=cve

• github.com/advisories/GHSA-h7vp-g8q2-89c8

• nvd.nist.gov/vuln/detail/CVE-2026-87796

• Plugin directory: gf-multi-uploader

• Trac browser: plugins.trac.wordpress.org/gf-multi-uploader

• SVN tags: plugins.svn.wordpress.org/gf-multi-uploader

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

Records (structured)

Disclaimer

Questo pacchetto è per il vendor, il proprietario del sito e i lab autorizzati. Lo script comunica con 127.0.0.1. Usarlo contro sistemi che non possiedi non è autorizzato da Abraxas Labs. Nessuna garanzia.

abraxaslabs.tech · github.com/abraxas · @abraxas_null