Il plugin WPForms Pro per WordPress è vulnerabile all'Upload Arbitrario di File in tutte le versioni fino alla 1.10.1.1 inclusa tramite la funzione ajax_chunk_upload_finalize. Ciò è dovuto al fatto che la validazione del tipo di file avviene dopo che i metadati dei chunk e i contenuti dei file sono già stati scritti su disco, e al fatto che il file assemblato non viene eliminato in caso di fallimento della validazione. Ciò consente ad attaccanti non autenticati di caricare file potenzialmente eseguibili, rendendo possibile l'esecuzione di codice remota.

Causa Principale

La catena di vulnerabilità sfrutta un difetto critico nell'ordinamento del ciclo di vita dell'upload a chunk:

1. Init crea i metadati su disco prima di verificare se l'estensione del file è consentita
2. Chunk carica i metadati e scrive byte grezzi in un percorso prevedibile (SHA1(UUID)-0.chunk)
3. Finalize assembla il file finale prima di validarne il tipo MIME — e non esegue alcuna pulizia in caso di errore
4. Nessuna verifica nonce viene imposta su nessuno dei tre endpoint AJAX
5. Tutte e tre le route sono registrate per visitatori non autenticati (wp_ajax_nopriv_*)

Funzionalità

• Scansione multi-target — fornisci un elenco di target da elaborare in modo concorrente
• Rilevamento automatico dei form — esegue la scansione di pagine, sitemap e oltre 100 percorsi comuni per individuare i campi di upload di WPForms
• Rilevamento della versione — legge readme.txt e il sorgente HTML per identificare le versioni vulnerabili di WPForms
• Validazione delle route AJAX — conferma che wpforms_upload_chunk_init sia raggiungibile esternamente prima di procedere
• Doppia strategia di upload:
  • Upload finalizzati (init → chunk → finalize) con estensioni sia sicure che eseguibili
  • Upload solo-chunk (init → chunk, salta finalize) per percorsi di file deterministici tramite SHA1(UUID)
• Calcolo del percorso prevedibile — calcola SHA1(UUID controllato dal client) per derivare l'URL esatto del chunk senza doverlo indovinare
• Diff del directory listing — acquisisce istantanee di /wpforms/tmp/ prima e dopo gli upload exec per identificare i file appena scritti
• Estrazione dei leak di hash — analizza tutti i corpi di risposta e le intestazioni alla ricerca di pattern di nomi file <32hex>.<ext>
• Verifica dell'esecuzione — conferma l'effettiva esecuzione PHP verificando la presenza di una firma unica nel corpo della risposta, escludendo il servizio di file statici e la divulgazione del codice sorgente
• Sondaggio PATH_INFO — tenta bypass dell'handler del server (.chunk/x.php, /.php) per attivare l'esecuzione PHP su estensioni non PHP
• Payload poliglotti — genera immagini PNG valide con PHP incorporato dopo il chunk IEND
• Output professionale — display terminale colorato in tempo reale con monitoraggio dello stato per ogni target

Requisiti

beautifulsoup4 è opzionale ma consigliato per un'estrazione più affidabile dei campi dei form.

Utilizzo

Ti verrà chiesto di fornire:

Formato del File dei Target

Un URL per riga. Supporta http://, https://, domini nudi, IP e installazioni in sottodirectory.

Output

Terminale

Durante la scansione, ogni target attraversa fasi etichettate:

File dei Risultati

Tutti i risultati vengono salvati in Nx_hit/:

Riepilogo

Pipeline di Scansione

Dichiarazione di Non Responsabilità

Questo strumento è fornito esclusivamente per test di sicurezza autorizzati e scopi di ricerca educativa. Utilizzalo solo su sistemi di tua proprietà o per i quali hai ricevuto un esplicito permesso scritto per il test.

L'accesso non autorizzato a sistemi informatici è illegale. L'autore declina ogni responsabilità per usi impropri, danni o qualsiasi conseguenza legale derivante dall'utilizzo di questo software.

Utilizzando questo strumento, accetti di essere l'unico responsabile delle tue azioni e di rispettare tutte le leggi e i regolamenti applicabili.

Di: Nxploited
_{Khaled Alenazi}
T.m @Kxploit