Технический анализ (по коду зеркала v3.1.8.4)

1. Публичный nonce — includes/modules/FilterPosts/FilterPosts.php:1759 создаёт wp_create_nonce('filter_object') и прикрепляет его через wp_localize_script (filter_ajax_object.security) к скрипту, подключаемому для ВСЕХ посетителей (wp_enqueue_scripts). Nonce не является преградой: каждый посетитель имеет его копию.
2. Неаутентифицированная точка входа — filter_ajax.php:3406-3407 и loadmore_ajax.php:569-570 регистрируют обработчики с wp_ajax_nopriv_* (без входа в систему).
3. Ввод без санитизации — filter_ajax.php:114-133 (loadmore: 73-91): $loop_var = json_decode(sanitize_text_field($_POST['loop_var'])), затем $custom_loop_template = $loop_var['custom_loop_template'] дословно — без basename(), без белого списка, без проверки realpath.
4. Sink — filter_ajax.php:2871-2873 (loadmore: 344-346):
   root@kitploit:~

   if ($loop_templates == 'custom-template') {
       if (file_exists(get_stylesheet_directory() . '/divi-ajax-filter/loop-templates/' . $custom_loop_template)) {
           include(get_stylesheet_directory() . '/divi-ajax-filter/loop-templates/' . $custom_loop_template);
   

   Условие: запрос должен попасть в ветку не-WooCommerce ($posttype из JSON query свободен, без списка разрешённых) и запрос должен вернуть >= 1 пост.
5. Глубина обхода — базовый каталог = <webroot>/wp-content/themes/<theme>/divi-ajax-filter/loop-templates/ → нужно ../../../../../ (5×), чтобы вернуться к webroot. ВАЖНОЕ ПРИМЕЧАНИЕ: file_exists()/include() молча завершаются с ошибкой, если компонент префиксного пути не существует — каталог divi-ajax-filter/loop-templates/ внутри темы должен существовать (это документированная плагином структура custom-template, поэтому она обычно есть на сайтах, использующих эту функцию; без этого каталога обход эффективно блокируется).
6. RCE — если атакующий может разместить .php на сервере (загрузка пользователем с ролью author, нестрогая конфигурация загрузки, другой плагин), включение загруженного файла = выполнение кода.

Структура каталогов

Запуск лаборатории

PoC / Живой сканер (без режима — все цели обрабатываются как живые)

• Домен без схемы автоматически становится http://; автоматическая дедупликация; результаты сразу инкрементально записываются в results_cve-2026-11613.csv (безопасно при Ctrl-C, частичные результаты сохраняются).
• Статус по каждой цели: VULN: LFI / VULN: LFI+RCE (зелёный), not-confirmed (жёлтый), NO-NONCE / NO-PLUGIN (голубой), UNREACHABLE / ERROR (красный).
• --no-color / env NO_COLOR для вывода без цветов; цвета автоматически отключаются при перенаправлении вывода.
• Код выхода: 0 = есть уязвимая цель, 1 = нет, 130 = прервано.

WayangXploit — one-shot (внедрение canary + автоматическая проверка RCE)

Одна команда: вход → внедрение canary WayangXploit (маленький неактивный плагин, только PoC: выводит marker+uid+uname и завершается, не webshell, без параметров cmd) → проверка → sweep LFI без аутентификации → вердикт RCE. Авто: https-upgrade, SSL bypass, POST с сохранением редиректов. Очистка: удаление плагина "WayangXploit Canary" + "Divi Compat Shim" в wp-admin после теста.

poc_http.py теперь по умолчанию использует --upload-marker WayangXploit-RCE-CONFIRMED (поэтому достаточно --upload-rel / --upload-name).

Результаты проверки лаборатории (реальные, из HTTP response)

Условия эксплуатации на живых целях (проверяются live_scan.py):

1. Плагин Divi Ajax Filter <= 5.1.2 активен (recon: прямой доступ к основному файлу плагина).
2. Nonce filter_object раскрыт на публичной странице (скрипт модуля подключён).
3. Существует <theme>/divi-ajax-filter/loop-templates/ (обход с префиксом требует этого).
4. Для RCE: есть доступный атакующему файл .php (например, результат загрузки) — только LFI также имеет воздействие (раскрытие информации / обход аутентификации для любого файла .php).