CVE-2026-76547 — PHP Object Injection in Profile Builder < 4.0.1

Ricercatore: Vivien Lebas Plugin interessato: Profile Builder (WordPress) Versioni interessate: < 4.0.1 Corretto in: 4.0.1 Tipo: PHP Object Injection (Deserializzazione non sicura) CWE: CWE-502 OWASP: A8 – Deserializzazione non sicura CVSS 3.1: 6.6 (Medio) — AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H WPScan: Avviso verificato

Riepilogo

L'add-on Import/Export di Profile Builder non convalida il tipo di dati deserializzati durante l'importazione di un file di configurazione. Un utente con privilegi elevati (amministratore) può quindi attivare una PHP Object Injection importando un file JSON appositamente predisposto.

L'add-on è un'estensione gratuita, disabilitata per impostazione predefinita, e Profile Builder stesso non include alcuna catena POP (Property-Oriented Programming) utilizzabile. Per ottenere un impatto concreto è quindi necessario un gadget adeguato fornito da un altro plugin o tema installato.

Componente interessato

La vulnerabilità risiede nella funzionalità di importazione:

/wp-admin/admin.php?page=pbie-import-export&tab=import

Un valore all'interno del file importato viene passato a maybe_unserialize() di WordPress senza alcun controllo del tipo. Se il valore è una stringa di oggetto serializzato, PHP istanzia la classe indicata ed esegue i suoi metodi magici (__wakeup, __destruct) durante la richiesta di importazione.

Prerequisiti

• Profile Builder installato e attivo.
• L'add-on gratuito Import and Export abilitato in Profile Builder > Add-ons (disabilitato in un'installazione standard — un amministratore deve attivarlo).
• Un account Amministratore (manage_options). Su multisite, l'importazione è vincolata a manage_network, quindi è richiesto un Network/Super Administrator; un Amministratore di sottosito viene rifiutato.
• Una classe con un metodo magico utilizzabile deve essere caricata sul target affinché l'oggetto iniettato abbia un effetto osservabile. Profile Builder non ne include alcuna, quindi il payload seguente usa Evil come segnaposto per qualunque classe di questo tipo fornita da un plugin o tema installato.

Proof of Concept

1. Accedere come Amministratore e aprire:

   https://victim.example/wp-admin/admin.php?page=pbie-import-export&tab=import

2. Salvare quanto segue come payload.json:

   {
     "options": {},
     "posts": {
       "wppb-rf-cpt": [
         {
           "post_title": "POC",
           "post_name": "poc",
           "post_type": "post",
           "post_status": "publish",
           "postmeta": {
             "poc": ["O:4:\"Evil\":0:{}"]
           }
         }
       ]
     }
   }

3. Selezionare payload.json nel campo JSON File e premere Import.

Risultato

La stringa all'interno del valore postmeta viene passata a maybe_unserialize(), quindi la classe indicata viene istanziata e i suoi metodi magici vengono eseguiti durante la richiesta di importazione.

Note

• La chiave esterna deve essere una tra wppb-ul-cpt, wppb-rf-cpt o wppb-epf-cpt, ma il tipo di post effettivamente creato è ricavato dal campo post_type di ogni singolo post, quindi il percorso è raggiungibile senza licenza Pro.
• L'oggetto deserializzato non viene memorizzato: la riga di meta risultante è vuota. L'impatto è limitato a ciò che viene eseguito durante quella richiesta.

Impatto

PHP Object Injection. Con una catena di gadget adeguata proveniente da un altro plugin o tema installato, ciò può portare ad azioni quali operazioni sui file o, a seconda dei gadget disponibili, all'esecuzione di codice remoto.

Remediation

Aggiornare Profile Builder alla versione 4.0.1 o successiva.

Divulgazione

Questa vulnerabilità è stata divulgata in modo responsabile al fornitore ed è pubblicata dopo la disponibilità di una correzione, per scopi educativi e difensivi.