abraxas/cve-2026-12793CVE-2026-12793에 대한 개념 증명 익스플로잇으로, WordPress JetFormBuilder 3.6.2 이하 버전에서 관리자 계정을 생성하는 인증되지 않은 권한 상승 취약점입니다.
abraxaslabs.tech · github.com/abraxas · @abraxas_null · [email protected] · CVE-2026-12793
JetFormBuilder 3.6.2 - jetmonsters
저는 @abraxas_null입니다. 루프백 랩입니다. 클라이언트는 CVE-2026-12793-Abraxas-Labs.py입니다.
권고문은 하나의 필드를 지목했습니다. _jet_engine_booking_form_id는 POST 필드이며, HTTP action=이 아닙니다. set_form_id는 absint()만 수행합니다. get_blocks_by_post는 모든 포스트를 파싱합니다. 올바른 블록과 _jf_actions register-user administrator를 가진 일반 포스트로 충분합니다. 실제 라우터 훅은 소스 기본값인 jet_form_builder_submit=submit이 아닙니다. 3.6.2.1에서 패치되었습니다.
| CVE | CVE-2026-12793 · CVE.org |
| CWE | CWE-269 |
| CVSS | Critical: 9.8 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Product | JetFormBuilder - Dynamic Blocks Form Builder |
| Affected | 3.6.2까지(포함) 모든 버전 |
| Patched | 3.6.2.1 이상 |
| Auth | 없음 |
| License | GNU Affero GPL v3.0 |
| Lab | 127.0.0.1 전용 |
실제 훅 쌍, 해당 포스트 id, 그리고 login/email/password를 사용한 인증되지 않은 POST /. JSON status: success와 숫자 user_id. 해당 사용자는 administrator입니다. 사용자 생성이 곧 증명입니다.
Wordfence는 _jet_engine_booking_form_id를 지목했습니다. 저는 set_form_id, 그다음 get_blocks_by_post, 그다음 액션 핸들러를 읽었습니다. 옵션 테이블은 첫 로드 시 라우터 쌍을 재작성합니다.
방문자처럼 쌍을 찾으세요: 캐리어 포스트의 공개 REST 문서를 GET합니다. method=ajax, 실제 훅 쌍, 그리고 form id를 사용한 POST /. 작은 JSON, 수십 바이트. 아직도 DOCTYPE을 읽고 있다면, 아직도 헤매고 있는 것입니다.
잘못된 길: jet_form_builder_submit=submit은 약 80k의 테마 HTML을 반환합니다; REST /jet-form-builder/v1/validate-field는 3.6.2에서 잘못된 문입니다; nonce와의 싸움(픽스처에서 load_nonce=hide, use_csrf=false); _jf_actions user_role이 administrator가 아니어서 subscriber가 된 경우(시드 누락이며, 패치가 아님); 실제 jet-form-builder CPT id 제출(제품이 작동하는 경우).
포트 8088. JetFormBuilder 3.6.2. 캐리어 포스트 슬러그 jfb-lab-carrier (post, jet-form-builder가 아님)이며, 훅 쌍이 REST에 출력됩니다.
오직 127.0.0.1:8088(또는 바인딩한 루프백)만 대상으로 하세요.
cd lab
docker compose up --force-recreate
python3 ../CVE-2026-12793-Abraxas-Labs.py
확인: JSON {"user_id":N,"status":"success"} 그리고 /wp/v2/users/<id>가 administrator입니다. 테마 HTML은 아닙니다.
아무것도 배우지 못한 채 실패하는 방법:
/ 200, 약 80k HTML, 기본 훅JetFormBuilder를 3.6.2.1 이상으로 업데이트하세요. 패치된 빌드에 대해 CVE-2026-12793-Abraxas-Labs.py를 다시 실행하세요: administrator user_id가 나타나지 않아야 합니다.
www.wordfence.com/threat-intel/vulnerabilities/id/a61b2ecc-d4e1-4e71-9187-ddc3d3616a29?source=cve
플러그인 디렉터리: jetformbuilder
Trac 브라우저: plugins.trac.wordpress.org/jetformbuilder
Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null
GNU Affero GPL v3.0. LICENSE를 참조하세요.
클라이언트는 루프백과 통신합니다. 소유하지 않은 시스템에 대해 사용하는 것은 Abraxas Labs에 의해 승인되지 않습니다. 보증하지 않습니다.