abraxas/cve-2026-12793CVE-2026-12793 の概念実証エクスプロイト。これは WordPress JetFormBuilder 3.6.2 以前における未認証の権限昇格であり、管理者アカウントを作成します。
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · CVE-2026-12793
JetFormBuilder 3.6.2 - jetmonsters
私は @abraxas_null です。ループバックラボです。クライアントは CVE-2026-12793-Abraxas-Labs.py です。
アドバイザリはフィールドを名指ししていました。_jet_engine_booking_form_id は POST フィールドであり、HTTP の action= ではありません。set_form_id は absint() するだけです。get_blocks_by_post は任意の投稿をパースします。適切なブロックを持つ通常の投稿と、register-user administrator を指定した _jf_actions があれば十分です。実際に動作するルーターフックは、ソースのデフォルトである jet_form_builder_submit=submit ではありません。3.6.2.1 で修正済みです。
| CVE | CVE-2026-12793 · CVE.org |
| CWE | CWE-269 |
| CVSS | Critical: 9.8 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Product | JetFormBuilder - Dynamic Blocks Form Builder |
| Affected | 3.6.2 までのすべてのバージョン（含む） |
| Patched | 3.6.2.1 以降 |
| Auth | なし |
| License | GNU Affero GPL v3.0 |
| Lab | 127.0.0.1 のみ |
認証されていない POST / に、実際に動作するフックペア、その投稿 ID、そして login/email/password を付けて送信します。JSON の status: success と数値の user_id が返ります。そのユーザーは administrator です。ユーザーが作成されることが証明です。
Wordfence は _jet_engine_booking_form_id を名指ししていました。私は set_form_id を読み、次に get_blocks_by_post を読み、そしてアクションハンドラを読みました。オプションテーブルは初回ロード時にルーターペアを書き換えます。
訪問者のようにペアを発見します。キャリア投稿の公開 REST ドキュメントを GET します。POST / に method=ajax、実際に動作するフックペア、フォーム ID を付けます。小さな JSON、数十バイトです。まだ DOCTYPE を読んでいるなら、まだ迷子です。
間違った道：jet_form_builder_submit=submit は約 80k のテーマ HTML を返します。REST /jet-form-builder/v1/validate-field は 3.6.2 では間違った扉です。nonce との格闘（フィクスチャで load_nonce=hide、use_csrf=false）。_jf_actions の user_role が administrator でなかったため subscriber になった（シードミスであり、パッチではありません）。実際の jet-form-builder CPT ID を送信（製品は動作中）。
ポート 8088。JetFormBuilder 3.6.2。キャリア投稿スラッグ jfb-lab-carrier（post であり、jet-form-builder ではありません）で、フックペアが REST に出力されます。
ターゲットは 127.0.0.1:8088 のみ（またはバインドしたループバック）。
cd lab
docker compose up --force-recreate
python3 ../CVE-2026-12793-Abraxas-Labs.py
証拠：JSON {"user_id":N,"status":"success"} と /wp/v2/users/<id> が administrator であること。テーマ HTML はそうではありません。
何も学ばずに負ける方法：
/ 200、約 80k HTML、デフォルトフックJetFormBuilder を 3.6.2.1 以降に更新してください。パッチ済みビルドに対して CVE-2026-12793-Abraxas-Labs.py を再実行します。administrator の user_id が現れてはなりません。
www.wordfence.com/threat-intel/vulnerabilities/id/a61b2ecc-d4e1-4e71-9187-ddc3d3616a29?source=cve
プラグインディレクトリ: jetformbuilder
Trac ブラウザ: plugins.trac.wordpress.org/jetformbuilder
Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null
GNU Affero GPL v3.0。LICENSE を参照してください。
クライアントはループバックと通信します。所有していないシステムに対して使用することは、Abraxas Labs によって認可されていません。保証はありません。