abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  CVE-2026-12793

CVE-2026-12793

JetFormBuilder — Dynamic Blocks Form Builder 3.6.2 — jetmonsters

WordPress용 JetFormBuilder — Dynamic Blocks Form Builder 플러그인은 3.6.2 이하의 모든 버전에서 권한 상승(Privilege Escalation) 취약점에 노출되어 있습니다. 이는 플러그인이 제출된 form ID가 JetFormBuilder 폼에 속하는지 검증하지 않은 채, 참조된 게시물의 콘텐츠를 폼 스키마로 파싱하고 Advanced Validation 서버 측 콜백을 실행하기 때문에 발생합니다. 이로 인해 인증되지 않은 공격자가 관리자 수준의 새 사용자 계정을 생성할 수 있습니다.

권고 (소스 맵 기준)

권고문은 _jet_engine_booking_form_id와 Advanced Validation을 지목합니다. 해당 POST 필드는 Form_Handler::$form_key입니다. 라우터 훅은 소스 기본값인 jet_form_builder_submit=submit이 아니라, 무작위화된 gfb_request_args_key/value입니다. PHP 메서드 이름은 HTTP action=이 아닙니다. REST validate-field는 3.6.2에서 잘못된 경로입니다 (validate_form_post_type이 이미 실행됨).

진입점

• Method: POST
• Path: /
• Router: Form_Request_Router는 REQUEST[hook_key]=hook_val을 수신 대기합니다. 이는 소스 기본값인 jet_form_builder_submit=submit이 아닙니다 — Form_Handler::set_jfb_request_args가 옵션 jet_form_builder_settings__options-tab의 gfb_request_args_key / gfb_request_args_value에서 이를 덮어씁니다 (최초 로드 시 무작위 6+12자). 여전히 jet_form_builder_submit=submit을 전송하는 POST는 절대 매칭되지 않으며, WP는 테마 HTML(~80k)을 렌더링합니다. Form id 필드는 여전히 _jet_engine_booking_form_id입니다.
• Notes: CVE-2026-12793: set_form_id는 absint()만 수행합니다. get_blocks_by_post는 임의의 게시물에 parse_blocks()를 수행합니다. Lab 시드: 공개된 게시물 slug jfb-lab-carrier (post_type=post, jet-form-builder 아님)에 jet-forms 필드 + _jf_actions register_user administrator, 그리고 단락 JFB_HOOK_KEY=... JFB_HOOK_VAL=... 를 두어 무작위화된 라우터 쌍이 공개 REST 본문에 포함되도록 함 (실제 폼이 숨겨진 필드에 넣는 것과 동일한 값). 1단계 GET /?rest_route=/wp/v2/posts&slug=jfb-lab-carrier (id + 훅 쌍). 2단계 해당 쌍, method=ajax, form id, login/email/password로 POST /. REST validate-field는 사용하지 말 것 (3.6.2에서 이미 타입 검사를 수행함). 홈페이지 HTML은 실패입니다.

호출 체인

• GET /?rest_route=/wp/v2/posts&slug=jfb-lab-carrier -> id plus JFB_HOOK_KEY / JFB_HOOK_VAL (options-tab gfb_request_args_*)
• POST / REQUEST[hook_key]=hook_val method=ajax (NOT jet_form_builder_submit=submit)
• Form_Request_Router::listen (includes/request/request-router.php) uses Form_Handler::$hook_key/$hook_val
• Form_Handler::process_form -> setup_form -> set_form_id absint only (includes/form-handler.php:150-154, 183-200, 240)
• send_form: Action_Handler::set_form_id -> set_form_actions from _jf_actions of that post (includes/actions/action-handler.php:71-117)
• Request_Handler::set_form_data -> Block_Helper::get_blocks_by_post parse_blocks any post (includes/blocks/block-helper.php:186-201; includes/request/request-handler.php:30-33)
• block-parsers Module::init_request apply those blocks (modules/block-parsers/module.php:101-119)
• Default_Process_Event runs Register_User_Action::do_action wp_insert_user with settings.user_role (modules/actions-v2/register-user/register-user-action.php:66-215)

Lab 사전 조건

• jetformbuilder 3.6.2가 활성화된 WordPress
• Lab 시드가 일반 게시물 slug=jfb-lab-carrier (post_type=post, jet-form-builder 아님)를 공개했으며, login,email,password라는 이름의 jet-forms/text-field 블록과 _jf_actions register_user role administrator, _jf_args load_nonce=hide를 포함
• GET /?rest_route=/wp/v2/posts&slug=jfb-lab-carrier로 id 확인

Witness

POST JSON에 status success와 숫자 user_id가 포함됩니다. 후속 GET /?rest_route=/wp/v2/users/<user_id> 또는 login poc_12793과 role administrator를 포함하는 이후 목록으로 확인합니다. 고유한 login poc_12793이 마커입니다 — hello-world HTML이 아닙니다.

실패 조건

• 일반적인 200 hello world HTML
• POST / 200에 ~80k 테마 HTML (라우터 미스: 여전히 jet_form_builder_submit=submit 전송 중)
• admin-ajax 400 body 0
• /jet-form-builder/v1/validate-field에서 Invalid form ID / Invalid security signature
• status failed / nonce_failed / csrf_failed
• administrator 대신 subscriber 생성
• 실제 jet-form-builder CPT id 사용 (이는 의도된 동작이며 이 CVE가 아님)

패치 / 완화

먼저 할 일: JetFormBuilder — Dynamic Blocks Form Builder를 3.6.2.1 이상으로 업데이트하십시오.

업그레이드 후 검증

• 패치된 빌드에 대해 CVE-2026-12793-Abraxas-Labs.py를 다시 실행하십시오: 매핑된 witness가 나타나지 않아야 합니다.
• 배포된 트리에서 벤더 권고 / 변경 집합을 확인하십시오 (참조 항목 참조).
• WAF 시그니처는 지연일 뿐 패치가 아닙니다.

즉시 업데이트할 수 없는 경우

• 영향을 받는 구성 요소를 비활성화하거나 격리하십시오.
• 프로덕션에서 witness 조건을 탐색하십시오 (새 권한 사용자, 예상치 못한 파일, 주입된 행 — 이 CVE의 맵이 지목하는 모든 것).

재현 (승인된 Lab)

오직 http://127.0.0.1:8088 (또는 바인딩한 loopback)만 대상으로 하십시오. 이 스크립트를 인터넷을 향해 지정하지 마십시오.

python3 CVE-2026-12793-Abraxas-Labs.py

성공은 응답 본문에 위의 witness가 있는 것입니다. 일반적인 200 HTML은 아닙니다.

참조

• CVE-2026-12793 · NVD

• CVE-2026-12793 · CVE.org

• plugins.trac.wordpress.org/changeset/3575346/jetformbuilder

• www.wordfence.com/threat-intel/vulnerabilities/id/a61b2ecc-d4e1-4e71-9187-ddc3d3616a29?source=cve

• github.com/advisories/GHSA-579w-q4cr-j8hc

• nvd.nist.gov/vuln/detail/CVE-2026-12793

• 플러그인 디렉터리: jetformbuilder

• Trac 브라우저: plugins.trac.wordpress.org/jetformbuilder

• SVN 태그: plugins.svn.wordpress.org/jetformbuilder

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

레코드 (구조화)

# CVE-2026-12793  (structured records)

- input: `https://nvd.nist.gov/vuln/detail/CVE-2026-12793`
- CWE: CWE-269
- published: 2026-09-16T04:17:56.110

## NVD description

The JetFormBuilder — Dynamic Blocks Form Builder plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 3.6.2. This is due to the plugin not validating that a submitted form ID belongs to a JetFormBuilder form before parsing the referenced post's content as form schema and executing an Advanced Validation server-side callback. This makes it possible for unauthenticated attackers to create a new administrator-level user account.

## MITRE description

The JetFormBuilder — Dynamic Blocks Form Builder plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 3.6.2. This is due to the plugin not validating that a submitted form ID belongs to a JetFormBuilder form before parsing the referenced post's content as form schema and executing an Advanced Validation server-side callback. This makes it possible for unauthenticated attackers to create a new administrator-level user account.

## Affected

- jetmonsters JetFormBuilder — Dynamic Blocks Form Builder 0 affected

## References (JSON sources only)

- https://plugins.trac.wordpress.org/changeset/3575346/jetformbuilder
- https://www.wordfence.com/threat-intel/vulnerabilities/id/a61b2ecc-d4e1-4e71-9187-ddc3d3616a29?source=cve
- https://github.com/advisories/GHSA-579w-q4cr-j8hc
- https://nvd.nist.gov/vuln/detail/CVE-2026-12793

## GitHub advisory

The JetFormBuilder — Dynamic Blocks Form Builder plugin for WordPress is vulnerable to Privilege...

The JetFormBuilder — Dynamic Blocks Form Builder plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 3.6.2. This is due to the plugin not validating that a submitted form ID belongs to a JetFormBuilder form before parsing the referenced post's content as form schema and executing an Advanced Validation server-side callback. This makes it possible for unauthenticated attackers to create a new administrator-level user account.

면책 조항

이 패키지는 벤더, 사이트 소유자, 라이선스된 Lab을 위한 것입니다. 스크립트는 127.0.0.1과 통신합니다. 소유하지 않은 시스템에 사용하는 것은 Abraxas Labs에 의해 승인되지 않습니다. 보증은 없습니다.

abraxaslabs.tech · github.com/abraxas · @abraxas_null