abraxaslabs.tech  ·  github.com/abraxas  ·  @abraxas_null  ·  CVE-2026-12793

CVE-2026-12793

JetFormBuilder — Dynamic Blocks Form Builder 3.6.2 — jetmonsters

Плагин JetFormBuilder — Dynamic Blocks Form Builder для WordPress уязвим к повышению привилегий во всех версиях вплоть до 3.6.2 включительно. Это связано с тем, что плагин не проверяет, принадлежит ли отправленный ID формы форме JetFormBuilder, прежде чем разбирать содержимое указанной записи как схему формы и выполнять серверный callback Advanced Validation. Это позволяет неаутентифицированным злоумышленникам создать новую учётную запись уровня администратора.

Рекомендация (из карты исходников)

В рекомендации указаны _jet_engine_booking_form_id и Advanced Validation. Это POST-поле — Form_Handler::$form_key. Хук роутера — НЕ значение по умолчанию из исходников jet_form_builder_submit=submit; это рандомизированные gfb_request_args_key/value. Имена PHP-методов — это не HTTP action=. REST validate-field — неверный маршрут в 3.6.2 (validate_form_post_type уже выполняется).

Точка входа

• Метод: POST
• Путь: /
• Роутер: Form_Request_Router слушает REQUEST[hook_key]=hook_val. Это НЕ значения по умолчанию из исходников jet_form_builder_submit=submit — Form_Handler::set_jfb_request_args перезаписывает их из опции jet_form_builder_settings__options-tab gfb_request_args_key / gfb_request_args_value (случайные 6+12 символов при первой загрузке). POST, который по-прежнему отправляет jet_form_builder_submit=submit, никогда не совпадает; WP отдаёт HTML темы (~80k). Поле id формы по-прежнему _jet_engine_booking_form_id.
• Примечания: CVE-2026-12793: set_form_id выполняет только absint(). get_blocks_by_post вызывает parse_blocks() для любой записи. Затравка лаборатории: опубликованная запись со слагом jfb-lab-carrier (post_type=post, НЕ jet-form-builder) с полями jet-forms + _jf_actions register_user administrator, и абзац JFB_HOOK_KEY=... JFB_HOOK_VAL=... чтобы рандомизированная пара роутера была в публичном теле REST (те же значения, которые реальная форма поместила бы в скрытые поля). Шаг 1 GET /?rest_route=/wp/v2/posts&slug=jfb-lab-carrier (id + пара хуков). Шаг 2 POST / с этой парой, method=ajax, id формы, login/email/password. Не используйте REST validate-field (в 3.6.2 уже выполняется проверка типов). HTML главной страницы — это FAIL.

Цепочка вызовов

• GET /?rest_route=/wp/v2/posts&slug=jfb-lab-carrier -> id plus JFB_HOOK_KEY / JFB_HOOK_VAL (options-tab gfb_request_args_*)
• POST / REQUEST[hook_key]=hook_val method=ajax (NOT jet_form_builder_submit=submit)
• Form_Request_Router::listen (includes/request/request-router.php) uses Form_Handler::$hook_key/$hook_val
• Form_Handler::process_form -> setup_form -> set_form_id absint only (includes/form-handler.php:150-154, 183-200, 240)
• send_form: Action_Handler::set_form_id -> set_form_actions from _jf_actions of that post (includes/actions/action-handler.php:71-117)
• Request_Handler::set_form_data -> Block_Helper::get_blocks_by_post parse_blocks any post (includes/blocks/block-helper.php:186-201; includes/request/request-handler.php:30-33)
• block-parsers Module::init_request apply those blocks (modules/block-parsers/module.php:101-119)
• Default_Process_Event runs Register_User_Action::do_action wp_insert_user with settings.user_role (modules/actions-v2/register-user/register-user-action.php:66-215)

Предусловия лаборатории

• WordPress с активированным jetformbuilder 3.6.2
• Затравка лаборатории опубликовала обычную запись slug=jfb-lab-carrier (post_type=post, НЕ jet-form-builder) с блоками jet-forms/text-field с именами login,email,password и _jf_actions register_user role administrator, _jf_args load_nonce=hide
• Определите id через GET /?rest_route=/wp/v2/posts&slug=jfb-lab-carrier

Свидетельство

POST JSON содержит status success и числовой user_id. Последующий GET /?rest_route=/wp/v2/users/<user_id> или более поздний список, включающий login poc_12793 с ролью administrator. Уникальный login poc_12793 — это маркер, а не HTML hello-world.

Не успех

• обычный 200 hello world HTML
• POST / 200 с ~80k HTML темы (промах роутера: всё ещё отправляется jet_form_builder_submit=submit)
• admin-ajax 400 тело 0
• Invalid form ID / Invalid security signature от /jet-form-builder/v1/validate-field
• status failed / nonce_failed / csrf_failed
• создание subscriber вместо administrator
• использование реального id CPT jet-form-builder (это ожидаемое поведение, а не эта CVE)

Патч / устранение

Сделайте это в первую очередь: обновите JetFormBuilder — Dynamic Blocks Form Builder до 3.6.2.1 или новее.

Проверка после обновления

• Повторно запустите CVE-2026-12793-Abraxas-Labs.py против пропатченной сборки: сопоставленное свидетельство не должно появиться.
• Подтвердите рекомендацию вендора / changeset в развёрнутом дереве (см. ссылки).
• Сигнатура WAF — это отсрочка, а не патч.

Если вы не можете обновиться немедленно

• Отключите или изолируйте затронутый компонент.
• Ищите условие-свидетельство в продакшене (новые привилегированные пользователи, неожиданные файлы, внедрённые строки — то, что называет карта этой CVE).

Воспроизведение (авторизованная лаборатория)

Цель — только http://127.0.0.1:8088 (или loopback, который вы привязали). Не направляйте этот скрипт в интернет.

python3 CVE-2026-12793-Abraxas-Labs.py

Успех — это свидетельство выше в теле ответа. Обычный 200 HTML — это не оно.

Ссылки

• CVE-2026-12793 · NVD

• CVE-2026-12793 · CVE.org

• plugins.trac.wordpress.org/changeset/3575346/jetformbuilder

• www.wordfence.com/threat-intel/vulnerabilities/id/a61b2ecc-d4e1-4e71-9187-ddc3d3616a29?source=cve

• github.com/advisories/GHSA-579w-q4cr-j8hc

• nvd.nist.gov/vuln/detail/CVE-2026-12793

• Каталог плагинов: jetformbuilder

• Браузер Trac: plugins.trac.wordpress.org/jetformbuilder

• Теги SVN: plugins.svn.wordpress.org/jetformbuilder

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

Записи (структурированные)

# CVE-2026-12793  (structured records)

- input: `https://nvd.nist.gov/vuln/detail/CVE-2026-12793`
- CWE: CWE-269
- published: 2026-09-16T04:17:56.110

## NVD description

The JetFormBuilder — Dynamic Blocks Form Builder plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 3.6.2. This is due to the plugin not validating that a submitted form ID belongs to a JetFormBuilder form before parsing the referenced post's content as form schema and executing an Advanced Validation server-side callback. This makes it possible for unauthenticated attackers to create a new administrator-level user account.

## MITRE description

The JetFormBuilder — Dynamic Blocks Form Builder plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 3.6.2. This is due to the plugin not validating that a submitted form ID belongs to a JetFormBuilder form before parsing the referenced post's content as form schema and executing an Advanced Validation server-side callback. This makes it possible for unauthenticated attackers to create a new administrator-level user account.

## Affected

- jetmonsters JetFormBuilder — Dynamic Blocks Form Builder 0 affected

## References (JSON sources only)

- https://plugins.trac.wordpress.org/changeset/3575346/jetformbuilder
- https://www.wordfence.com/threat-intel/vulnerabilities/id/a61b2ecc-d4e1-4e71-9187-ddc3d3616a29?source=cve
- https://github.com/advisories/GHSA-579w-q4cr-j8hc
- https://nvd.nist.gov/vuln/detail/CVE-2026-12793

## GitHub advisory

The JetFormBuilder — Dynamic Blocks Form Builder plugin for WordPress is vulnerable to Privilege...

The JetFormBuilder — Dynamic Blocks Form Builder plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 3.6.2. This is due to the plugin not validating that a submitted form ID belongs to a JetFormBuilder form before parsing the referenced post's content as form schema and executing an Advanced Validation server-side callback. This makes it possible for unauthenticated attackers to create a new administrator-level user account.

Отказ от ответственности

Этот пакет предназначен для вендора, владельца сайта и лицензированных лабораторий. Скрипт обращается к 127.0.0.1. Использование его против систем, которыми вы не владеете, не авторизовано Abraxas Labs. Без гарантий.

abraxaslabs.tech · github.com/abraxas · @abraxas_null