Aviso (do mapa do código-fonte)

O aviso nomeia move_file. Esse é um método PHP privado, não um action= HTTP. A ação HTTP é gfmu-plupload-submit. Chunked vs não-chunked é REQUEST[chunks]>1. Nomes de funções PHP não são action= do admin-ajax.

Entrada

• Método: POST
• Caminho: /wp-admin/admin-ajax.php
• Roteador: wp_ajax_nopriv_gfmu-plupload-submit → GFMUHandlePluploader::plupload_ajax_submit. O campo nonce é REQUEST[nonce] para a ação gfmu-upload-nonce. Não invente uma ação ajax diferente.
• Notas: CVE-2026-87796: handleUpload em partes (REQUEST chunks>1) copia o arquivo montado com move_file ANTES de validateUploadedFile. O não-chunked valida primeiro. Sem um campo, enable_chunked é false e toBytes(ini 2M) < sizeLimit 10mb retorna 'try activate chunking' antes de qualquer escrita. O stub de lab RGFormsModel::get_field retorna um campo multi-uploader com chunk_size=2mb para que essa verificação seja ignorada. Envie currentFormID=1 e currentFieldID=1. Descubra o nonce na página de slug gfmu-lab-nonce. Testemunhe GET /wp-content/uploads/gfmu-uploads-tmp/poc_witness.php contém POC_WITNESS_87796 (GIF89a + echo, não um shell). Dois POSTs de partes e então GET.

Cadeia de chamadas

• POST /wp-admin/admin-ajax.php action=gfmu-plupload-submit (nopriv, GFMUAddon.class.php:125)
• GFMUHandlePluploader::plupload_ajax_submit nonce gfmu-upload-nonce (GFMUHandlePluploader.class.php:257-262)
• GFMU_FileUploader::handleUpload chunks>1 (GFMU_FileUploader.php:231-319)
• move_file copia e então unlink tmp (GFMU_FileUploader.php:319, 545-560)
• validateUploadedFile somente DEPOIS que o arquivo já está em $target (322) — ao contrário do não-chunked que valida primeiro (375)
• GET /wp-content/uploads/gfmu-uploads-tmp/<name> para POC_WITNESS_87796

Pré-condições do lab

• WordPress com gf-multi-uploader 1.1.9 ativo
• Stub GF do lab como mu-plugin para que GFForms exista e o AJAX nopriv seja registrado
• Página pública de slug gfmu-lab-nonce com GFMU_NONCE= para uid 0
• Não envie currentFormID (não há formulários reais do Gravity Forms)

Testemunho

O GET HTTP do arquivo enviado retorna a string única POC_WITNESS_87796. JSON result=success mais esse GET é SUCESSO. HTML do tema, admin-ajax 0, ou Server error. Falha de nonce não é isso.

Não é sucesso

• HTML genérico 200 hello world
• admin-ajax 400 corpo 0
• result error / Server error. nonce
• extensão inválida sem um arquivo que ainda faça GET do testemunho
• um reverse shell ou conexão de saída
• enviar um jpg/png permitido que não seja o sink de tipo arbitrário

Patch / remediação

Faça isto primeiro: Aplique o patch do fornecedor para o Multi Uploader for Gravity Forms. Veja as referências.

Verifique após a atualização

• Execute novamente CVE-2026-87796-Abraxas-Labs.py contra a build corrigida: o testemunho mapeado não deve aparecer.
• Confirme o aviso do fornecedor / changeset na árvore implantada (veja as referências).
• Uma assinatura de WAF é atraso, não um patch.

Se você não puder atualizar imediatamente

• Desative ou isole o componente afetado.
• Procure pela condição de testemunho em produção (novos usuários privilegiados, arquivos inesperados, linhas injetadas — o que o mapa deste CVE nomear).

Reprodução (lab autorizado)

Alvo apenas http://127.0.0.1:8088 (ou o loopback que você vinculou). Não aponte este script para a internet.

Sucesso é o testemunho acima no corpo da resposta. HTML 200 genérico não é isso.

Imagens do lab

Stack de loopback usada para reproduzir. Imagens oficiais, a menos que um Dockerfile nesta pasta faça build a partir do código-fonte.

• lab/docker-compose.yml
• lab/docker-compose.override.yml
• lab/Dockerfile

Vincule a árvore do produto vulnerável ao lado do Compose se o YAML montar um diretório local (zip do plugin / tag de código-fonte da tabela de versões). Não publique nada exceto 127.0.0.1.

Referências

• CVE-2026-87796 · NVD

• CVE-2026-87796 · CVE.org

• plugins.trac.wordpress.org/browser/gf-multi-uploader/tags/1.1.9/GFMUAddon.class.php#L125

• plugins.trac.wordpress.org/browser/gf-multi-uploader/tags/1.1.9/inc/GFMUHandlePluploader.class.php#L257

• plugins.trac.wordpress.org/browser/gf-multi-uploader/tags/1.1.9/inc/GFMU_FileUploader.php#L319

• plugins.trac.wordpress.org/browser/gf-multi-uploader/tags/1.1.9/inc/GFMU_FileUploader.php#L322

• plugins.trac.wordpress.org/browser/gf-multi-uploader/tags/1.1.9/inc/GFMU_FileUploader.php#L560

• www.wordfence.com/threat-intel/vulnerabilities/id/47337bc1-fa3d-470c-9524-859295261017?source=cve

• github.com/advisories/GHSA-h7vp-g8q2-89c8

• nvd.nist.gov/vuln/detail/CVE-2026-87796

• Diretório de plugins: gf-multi-uploader

• Navegador Trac: plugins.trac.wordpress.org/gf-multi-uploader

• Tags SVN: plugins.svn.wordpress.org/gf-multi-uploader

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

Registros (estruturados)

Isenção de responsabilidade

Este pacote é para o fornecedor, o proprietário do site e labs licenciados. O script se comunica com 127.0.0.1. Usá-lo contra sistemas que você não possui não é autorizado pela Abraxas Labs. Sem garantia.

abraxaslabs.tech · github.com/abraxas · @abraxas_null