公告（来自源码映射）

公告中提到了 move_file。这是一个私有 PHP 方法，而非 HTTP action=。HTTP action 是 gfmu-plupload-submit。分块与非分块取决于 REQUEST[chunks]>1。PHP 函数名不是 admin-ajax 的 action=。

入口

• 方法： POST
• 路径： /wp-admin/admin-ajax.php
• 路由： wp_ajax_nopriv_gfmu-plupload-submit → GFMUHandlePluploader::plupload_ajax_submit。Nonce 字段为 REQUEST[nonce]，用于 action gfmu-upload-nonce。不要臆造不同的 ajax action。
• 备注： CVE-2026-87796：分块 handleUpload（REQUEST chunks>1）在 validateUploadedFile 之前使用 move_file 复制组装后的文件。非分块则先验证。如果没有该字段，enable_chunked 为 false，且 toBytes(ini 2M) < sizeLimit 10mb 会在任何写入之前返回 'try activate chunking'。实验环境桩 RGFormsModel::get_field 返回一个 chunk_size=2mb 的多上传字段，因此该检查被跳过。发送 currentFormID=1 和 currentFieldID=1。从页面 slug gfmu-lab-nonce 发现 nonce。见证 GET /wp-content/uploads/gfmu-uploads-tmp/poc_witness.php 包含 POC_WITNESS_87796（GIF89a + echo，不是 shell）。两次分块 POST 然后 GET。

调用链

• POST /wp-admin/admin-ajax.php action=gfmu-plupload-submit (nopriv, GFMUAddon.class.php:125)
• GFMUHandlePluploader::plupload_ajax_submit nonce gfmu-upload-nonce (GFMUHandlePluploader.class.php:257-262)
• GFMU_FileUploader::handleUpload chunks>1 (GFMU_FileUploader.php:231-319)
• move_file copy then unlink tmp (GFMU_FileUploader.php:319, 545-560)
• validateUploadedFile only AFTER the file is already at $target (322) — unlike non-chunked which validates first (375)
• GET /wp-content/uploads/gfmu-uploads-tmp/<name> for POC_WITNESS_87796

实验环境前提条件

• 启用 gf-multi-uploader 1.1.9 的 WordPress
• 实验环境 GF 桩 mu-plugin，使 GFForms 存在且 nopriv AJAX 注册
• 公共页面 slug gfmu-lab-nonce，带有 GFMU_NONCE= 用于 uid 0
• 不要传递 currentFormID（没有真实的 Gravity Forms 表单）

见证

对上传文件进行 HTTP GET 返回唯一字符串 POC_WITNESS_87796。JSON result=success 加上该 GET 即为成功。主题 HTML、admin-ajax 0 或 Server error。nonce 失败不算。

非成功

• 通用的 200 hello world HTML
• admin-ajax 400 响应体为 0
• result error / Server error. nonce
• 无效扩展名但没有仍能 GET 到见证的文件
• 反弹 shell 或出站连接
• 上传允许的 jpg/png，而非任意类型接收点

补丁 / 修复

首先执行： 应用 Multi Uploader for Gravity Forms 的厂商补丁。见参考。

升级后验证

• 针对已修补的构建重新运行 CVE-2026-87796-Abraxas-Labs.py：映射的见证必须不出现。
• 确认部署树中的厂商公告 / 变更集（见参考）。
• WAF 签名是延迟，不是补丁。

如果无法立即更新

• 禁用或隔离受影响的组件。
• 在生产环境中搜寻见证条件（新的特权用户、意外文件、注入的行 — 即此 CVE 映射所命名的任何内容）。

复现（授权实验环境）

仅针对 http://127.0.0.1:8088（或你绑定的回环地址）。不要将此脚本指向互联网。

成功是响应体中出现上述见证。通用的 200 HTML 不算。

实验环境镜像

用于复现的回环栈。除非此文件夹中的 Dockerfile 从源码构建，否则使用官方镜像。

• lab/docker-compose.yml
• lab/docker-compose.override.yml
• lab/Dockerfile

如果 YAML 挂载了本地目录（来自版本表的插件 zip / 源码标签），请将易受攻击的产品树绑定到 Compose 旁边。除 127.0.0.1 外不要发布任何内容。

参考

• CVE-2026-87796 · NVD

• CVE-2026-87796 · CVE.org

• plugins.trac.wordpress.org/browser/gf-multi-uploader/tags/1.1.9/GFMUAddon.class.php#L125

• plugins.trac.wordpress.org/browser/gf-multi-uploader/tags/1.1.9/inc/GFMUHandlePluploader.class.php#L257

• plugins.trac.wordpress.org/browser/gf-multi-uploader/tags/1.1.9/inc/GFMU_FileUploader.php#L319

• plugins.trac.wordpress.org/browser/gf-multi-uploader/tags/1.1.9/inc/GFMU_FileUploader.php#L322

• plugins.trac.wordpress.org/browser/gf-multi-uploader/tags/1.1.9/inc/GFMU_FileUploader.php#L560

• www.wordfence.com/threat-intel/vulnerabilities/id/47337bc1-fa3d-470c-9524-859295261017?source=cve

• github.com/advisories/GHSA-h7vp-g8q2-89c8

• nvd.nist.gov/vuln/detail/CVE-2026-87796

• 插件目录：gf-multi-uploader

• Trac 浏览器：plugins.trac.wordpress.org/gf-multi-uploader

• SVN 标签：plugins.svn.wordpress.org/gf-multi-uploader

• Abraxas Labs：abraxaslabs.tech · github.com/abraxas · @abraxas_null

记录（结构化）

免责声明

此包面向厂商、站点所有者及授权实验室。该脚本仅与 127.0.0.1 通信。将其用于你并不拥有的系统未经 Abraxas Labs 授权。不提供任何担保。

abraxaslabs.tech · github.com/abraxas · @abraxas_null