CVE-2026-76547 — Инъекция PHP-объектов в Profile Builder < 4.0.1

Исследователь: Vivien Lebas Уязвимый плагин: Profile Builder (WordPress) Уязвимые версии: < 4.0.1 Исправлено в: 4.0.1 Тип: Инъекция PHP-объектов (небезопасная десериализация) CWE: CWE-502 OWASP: A8 – Insecure Deserialization CVSS 3.1: 6.6 (Medium) — AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H WPScan: Подтверждённое уведомление

Краткое описание

Дополнение Import/Export плагина Profile Builder не проверяет тип данных, подвергаемых десериализации, при импорте файла конфигурации. Пользователь с высокими привилегиями (администратор) может тем самым вызвать инъекцию PHP-объектов, импортировав специально сформированный JSON-файл.

Дополнение является бесплатным расширением, отключённым по умолчанию, а сам Profile Builder не содержит пригодной для использования цепочки POP (Property-Oriented Programming). Поэтому для достижения конкретного воздействия требуется подходящий гаджет из другого установленного плагина или темы.

Уязвимый компонент

Уязвимость находится в функции импорта:

/wp-admin/admin.php?page=pbie-import-export&tab=import

Значение внутри импортируемого файла передаётся в maybe_unserialize() WordPress без какой-либо проверки типа. Если значение является строкой сериализованного объекта, PHP создаёт экземпляр указанного класса и выполняет его магические методы (__wakeup, __destruct) во время запроса импорта.

Предварительные условия

Profile Builder установлен и активен.
Бесплатное дополнение Import and Export включено в разделе Profile Builder > Add-ons (в стандартной установке отключено — администратор должен его включить).
Учётная запись Администратора (manage_options). В мультисайте импорт ограничен правом manage_network, поэтому требуется Network/Super Administrator; администратору подсайта доступ запрещён.
Для того чтобы внедрённый объект оказал наблюдаемое воздействие, на целевой системе должен быть загружен класс с пригодным для использования магическим методом. Profile Builder таких классов не содержит, поэтому в приведённой ниже полезной нагрузке используется Evil в качестве замены любого такого класса, предоставляемого установленным плагином или темой.

Доказательство концепции

Войдите как Администратор и откройте:

   https://victim.example/wp-admin/admin.php?page=pbie-import-export&tab=import

Сохраните следующее как payload.json:

   {
     "options": {},
     "posts": {
       "wppb-rf-cpt": [
         {
           "post_title": "POC",
           "post_name": "poc",
           "post_type": "post",
           "post_status": "publish",
           "postmeta": {
             "poc": ["O:4:\"Evil\":0:{}"]
           }
         }
       ]
     }
   }

Выберите payload.json в поле JSON File и нажмите Import.

Результат

Строка внутри значения postmeta передаётся в maybe_unserialize(), поэтому указанный класс создаётся и его магические методы выполняются во время запроса импорта.

Примечания

Внешний ключ должен быть одним из wppb-ul-cpt, wppb-rf-cpt или wppb-epf-cpt, но фактически создаваемый тип записи берётся из поля post_type каждой записи, поэтому путь достижим без лицензии Pro.
Десериализованный объект не сохраняется: итоговая строка метаданных пуста. Воздействие ограничено тем, что выполняется во время этого запроса.

Воздействие

Инъекция PHP-объектов. При наличии подходящей цепочки гаджетов из другого установленного плагина или темы это может привести к таким действиям, как операции с файлами или, в зависимости от доступных гаджетов, к удалённому выполнению кода.

Устранение

Обновите Profile Builder до версии 4.0.1 или более поздней.

Раскрытие информации

Эта уязвимость была ответственно раскрыта производителю и публикуется после того, как исправление стало доступно, в образовательных и защитных целях.

CVE-2026-76547

Популярное