bootstrapbool/cve-2026-4257CVE-2026-4257 のエクスプロイト: Supsystic WordPress プラグインの Contact Form (≤1.7.36) におけるサーバーサイドテンプレートインジェクション。ユーザー制御のフォームフィールドを介して、認証なしのリモートコード実行を可能にします。
これは、Supsystic 製の "Contact Form" WordPress プラグインのバージョン 1.7.36 以前に存在する、サーバーサイドテンプレートインジェクション (SSTI) の脆弱性 CVE-2026-4257 を利用するものです。この脆弱性により、認証されていない攻撃者はリモートコード実行を達成できます。
脆弱性は formsViewCfs クラスの generateHtml() 関数に存在し、適切なタイプであれば Contact Form のいずれかのフィールドパラメータを介して、ユーザーが制御する入力を受け入れます。
*Ubuntu 24.04 と Supsystic の Contact Form バージョン 1.7.36 でテスト済み
*モジュールのドキュメントについては msf-exploit.md を参照してください。
ペイロードの注入に使用するフィールドです。適切なタイプの Contact Form で使用される有効なフィールドである必要があります。
ユーザー入力を受け入れ、RCE につながることが確認されているフィールドタイプは、Text、Textarea、Number、Email、Time、URL です。Button フィールドタイプは機能しません。
デフォルトのフィールドは first_name、last_name、subject、message、email ですが、これらのいずれも変更または削除できます。
FIELD が渡されない場合、モジュールは HTML からフィールドを導出しようとします。ただし、タイプ検出は実行されないため、検出されたフィールドが無効なタイプである可能性があります。導出された最初のフィールドのみが使用されますが、出力された他のフィールドを手動で試すこともできます。
ANSI エスケープコードの使用を防ぎます (出力をパイプ処理する場合に便利です)。
実行するシェルコマンド。
脆弱なコンタクトフォームを含むページへの完全なファイルパスを含む、アプリケーションの URL (例: http://10.0.0.9/wordpress/index.php/sample-page)
