摘要：CVE-2026-0740 是 WordPress 生态中 Ninja Forms File Uploads 插件（ninja-forms-file-uploads）存在的一处严重任意文件上传漏洞，CVSS 评分为 9.8（Critical）。该漏洞影响了 3.3.26 及之前的所有版本，源于 NF_FU_AJAX_Controllers_Uploads::handle_upload 函数在接收上传文件时既未对文件类型进行有效校验，也未对上传路径中的目录遍历序列进行过滤。未认证攻击者可组合利用路径遍历与缺失的文件类型校验，将恶意脚本（如 PHP webshell）上传至服务器可预测的目录，进而实现远程代码执行。尽管开发者在 3.3.25 中进行了部分修复，但直到 3.3.27 才完全封堵该漏洞。目前该漏洞尚未被 CISA KEV 收录，且公开的 PoC 利用脚本已出现，风险极高。

📌 漏洞概述

CVE 编号：CVE-2026-0740
CVSS 评分：9.8（Critical）
影响组件：WordPress 插件 Ninja Forms - File Uploads

• 漏洞类型：任意文件上传（Unrestricted Upload of File with Dangerous Type）
• 影响版本：≤ 3.3.26（含 3.3.26）
• 修复版本：3.3.25 部分修复，3.3.27 完全修复
• 利用条件：无需认证，攻击者可直接通过 HTTP 请求调用受影响的上传接口

该漏洞允许任何未登录的远程用户向目标 WordPress 站点上传任意文件。如果上传的文件被存储在 Web 可访问目录下，攻击者可上传包含恶意代码的 PHP 文件并直接访问，从而获得在服务器上执行任意命令的能力。CVSS 9.8 的评级也表明该漏洞具备极高的可利用性和破坏性，属于可被批量扫描和利用的关键漏洞类型。

🔬 漏洞根因分析

Ninja Forms File Uploads 插件用于在表单中接收文件上传，其核心处理逻辑位于 NF_FU_AJAX_Controllers_Uploads::handle_upload 方法。该方法的职责是接收 Ajax 请求中的文件数据，进行基础处理后将其保存到 WordPress 上传目录（通常为 wp-content/uploads/ninja-forms/）。然而，该实现存在两个相互叠加的关键缺陷，共同构成了严重的任意文件上传漏洞。

第一个缺陷：完全缺失文件类型验证。在 handle_upload 方法中，开发者只关注了文件上传流程的完整性，例如检查文件是否为空、移动临时文件等，但没有对文件的 MIME 类型、扩展名或文件内容进行任何限制。WordPress 内置的 wp_handle_upload 函数本应通过 wp_check_filetype_and_ext 对文件进行白名单校验，但该插件绕过了此安全机制，直接使用了自定义的文件处理逻辑。这意味着攻击者可以上传任意类型文件，包括 .php、.phtml、.php5 等可执行脚本，而不会受到任何拦截。

第二个缺陷：上传路径可被目录遍历操纵。根据公开的 PoC 分析，插件在构造文件保存路径时使用了用户可控的参数，并未对路径中的 ../ 等序列进行过滤。攻击者可通过构造特定文件名（例如包含路径遍历载荷）来突破预期的上传目录限制。虽然插件原意是将文件保存在 ninja-forms 子目录下，但通过目录遍历，攻击者可以将文件写入到服务器上任意可写的目录，比如 WordPress 根目录、主题目录，甚至是可执行脚本的目录。

两个缺陷组合利用。公开的 GitHub PoC（如 MadExploits/ninja-form-exploit）演示了完整利用链：首先通过主页中的 nfpluginsettings.js 确认插件存在，然后从 admin-ajax.php 接口获取上传所需的 nonce（该 nonce 未绑定用户会话，因此未认证攻击者可获取），接着构造包含 PoC 内容的文件，并通过路径遍历将文件名设置为类似 ../../../../wp-content/uploads/ninja-forms/{dir}/poc_test.txt 的形式。攻击者还会对目录名 {dir} 进行 1 到 100 的遍历，以匹配不同服务器环境下实际生成的子目录编号。最终验证上传是否成功，并直接访问该文件确认漏洞存在。

值得注意的是，3.3.25 版本的“部分修复”仅增强了对文件扩展名的过滤，但未处理路径遍历问题，因此仍可被绕过。直到 3.3.27 版本，开发者才同时修复了文件类型校验和路径清理，彻底杜绝了任意文件上传。这一过程也反映出插件开发方对安全问题的响应不够彻底，给了攻击者利用间隙进行攻击的机会。

💥 影响与危害

• 远程代码执行：攻击者上传包含恶意代码的 PHP 文件，并通过 Web 访问触发执行，从而在服务器上运行任意命令，完全控制系统。
• 网站完全沦陷：获得代码执行后，攻击者可进一步植入后门、修改站点文件、窃取数据库凭据，将 WordPress 站点变为僵尸网络节点或钓鱼平台。
• 服务器横向渗透：若服务器上运行其他服务或与内网连通，攻击者可能以此为跳板，对同网段内其他资产发起攻击，造成更大规模破坏。
• 数据泄露与勒索：攻击者可读取 wp-config.php 等敏感文件，获取数据库账号密码，导出用户数据，甚至删除全部文件勒索受害者。
• 影响范围广：Ninja Forms 是流行的 WordPress 表单插件，File Uploads 扩展拥有大量安装量。由于漏洞无需认证，攻击者可使用公开 PoC 进行大规模扫描，快速识别并批量攻击互联网上所有受影响站点。

CVSS 9.8 的评分充分说明了该漏洞的极端危害性，任何运行受影响插件的 WordPress 站点都应当立即视为已被入侵，需要全面排查服务器上的恶意文件和后门。

🛡️ 修复与缓解

补丁版本：请立即将 Ninja Forms - File Uploads 插件升级至 3.3.27 或更高版本。该版本完整修复了文件类型验证缺失和路径遍历两个核心问题。若使用的是 3.3.25 或 3.3.26，请特别注意：3.3.25 仅部分修补，仍存在被绕过的风险；3.3.26 则未包含有效修复。

临时缓解措施：

• 在无法立即升级的情况下，暂时禁用 Ninja Forms File Uploads 插件的上传功能，或使用 Web 应用防火墙（WAF）规则拦截包含 ninja-forms、admin-ajax.php 以及路径遍历特征（../）的请求。
• 通过对服务器目录权限进行加固，确保 Web 目录不可写入，尤其是 wp-content/uploads 目录应禁止执行 PHP 脚本（例如通过 .htaccess 或 Nginx 配置禁用该目录下的 PHP 执行权限）。
• 及时检查服务器上的 wp-content/uploads/ninja-forms/ 目录，以及 WordPress 根目录、主题目录中是否存在可疑的 .php/.phtml 文件，尤其是文件名带有随机字符串或包含目录穿越特征的异常文件。
• 监控 Web 访问日志，查找异常的上传请求（如 User-Agent 非正常浏览器、请求集中访问 admin-ajax.php 的 action=nf_fu_get_new_nonce 接口），以及后续对这些上传文件的访问记录。

由于该漏洞已被公开的 PoC 武器化，且利用门槛极低（无需认证、可直接使用脚本批量扫描），建议所有受影响站点在升级完成后，立即排查是否存在已被入侵的痕迹，必要时联系专业安全团队进行应急响应。

🧪 PoC 复现

从 GitHub 公开仓库抓取的实际 PoC 代码（仓库）。

📋 代码元数据语言md来源MadExploits/ninja-form-exploit针对性✅ 已验证与漏洞相关（代码含 CVE 引用）依赖见代码注释/README用法详见代码注释中的使用说明

# ninja-form-exploit

**CVE-2026-0740** — Multi-threaded vulnerability scanner for the Ninja Forms File Upload path traversal issue on WordPress.

## Deskripsi

`main.py` memindai daftar target WordPress untuk menentukan apakah plugin Ninja Forms File Uploads rentan terhadap CVE-2026-0740. Alur singkatnya:

1. Normalisasi URL (`http`/`https`,
strip trailing slash)
2. Deteksi plugin lewat marker `nfpluginsettings.js` di halaman utama
3. Ambil upload nonce via `wp-admin/admin-ajax.php` (`action=nf_fu_get_new_nonce`)
4. Upload PoC file dengan path traversal dan **fuzz directory `1`–`100`**
5. Verifikasi file terupload di `wp-content/uploads/ninja-forms/{dir}/`
6. Simpan target vulnerable ke file output

## Persyaratan

- Python 3.7+
- Library `requests`

```bash
pip install requests
```

## Penggunaan

```bash
python main.py <list_target.txt>
<jumlah_threads>```

**Contoh:**

```bash
python main.py targets.txt 20
```

### Format file target

Satu URL per baris:

```
example.com
https://site.example
http://another.example
```

Protocol opsional — jika tidak ada,script memakai `http://` lalu fallback ke `https://` jika gagal.

## Output

|Item |Nilai ||------|--------||File hasil |`vulnerable_targets.txt` ||Format baris |
`https://target |https://target/wp-content/uploads/ninja-forms/{dir}/poc_test.txt` ||PoC file |`poc_test.txt` ||PoC content |`GIF89;a <h1>VULNERABILITY_TEST_SUCCESSFUL</h1>` ||Timeout |7 detik ||Directory fuzz |`1`–`100` |File output di-reset setiap kali scan dimulai.

## Status di terminal

|Ikon |Arti ||------|------||`[*]` |Info / plugin terdeteksi / fuzzing ||`[+]` |Vulnerable ||
`[✓]` |Tidak vulnerable ||`[~]` |Skip (plugin tidak ada) ||`[-]` |Error / koneksi gagal ||`[!]` |Peringatan (usage) |## Konfigurasi (di dalam `main.py`)

```python
FILE_NAME = "poc_test.txt"
POC_CONTENT = "GIF89;a <h1>VULNERABILITY_TEST_SUCCESSFUL</h1>"
TIMEOUT = 7
OUTPUT_FILE = "vulnerable_targets.txt"
FUZZ_RANGE = range(1,
101)
```

## Catatan

- Script memakai `verify=False` (SSL warning dimatikan) agar target dengan sertifikat invalid tetap bisa di-scan.
- Thread pool memproses banyak target secara paralel sesuai argumen kedua.
- Hanya gunakan pada sistem yang Anda miliki atau yang izin pengujiannya sudah diperoleh.

⚔️ EXP 利用代码

截至分析时，Exploit-DB 未收录该 CVE 的公开利用代码。可利用上述 PoC 进行验证，或关注 Exploit-DB 更新。

🕵️ 检测指纹

针对该 CVE 的自动化检测规则（可直接用于扫描与审计）。

🛡️ Nuclei 检测模板: CVE-2026-0740-detection.yaml

📋 代码元数据语言yaml来源rules/nuclei/CVE-2026-0740-detection.yaml针对性✅ 按 CVE 匹配依赖nuclei用法nuclei -t CVE-2026-0740-detection.yaml -u

id: CVE-2026-0740-detection

info:
  name: Ninja Forms Uploads - Version Detection
  author: exploitdb
  severity: medium
  description: |
Ninja Forms Uploads plugin version 3.3.24 is vulnerable to unauthenticated PHP file upload.
    This detection template checks for the presence of the file-uploads add-on and its version.
  reference:
    - https://ninjaforms.com/extensions/file-uploads/
  tags: wordpress,plugin,ninja-forms,file-uploads,cve,cve2026

http:
  - method: GET
    path:
      - "{{BaseURL}}/wp-content/plugins/ninja-forms-uploads/readme.txt"
      - "{{BaseURL}}/wp-content/plugins/ninja-forms-uploads/ninja-forms-uploads.php"

    stop-at-first-match: true

    matchers-condition: or
    matchers:
      - type: word
        part: body
        words:
          - "Stable tag: 3.3.24"
          - "Stable tag: 3.3.23"
          - "Stable tag: 3.3.22"
          - "Stable tag: 3.3.21"
          - "Stable tag: 3.3.20"
        condition: or

      - type: word
        part: body
        words:
          - "Ninja Forms Uploads"
          - "nf-fu-uploads"
        condition: or

    extractors:
      - type: regex
        part: body
        group: 1
        regex:
          - 'Stable tag: ([0-9]+\.[0-9]+\.[0-9]+)'
          - 'Version: ([0-9]+\.[0-9]+\.[0-9]+)'

🤖 本文由漏洞情报系统自动聚合生成 · 2026-08-13 06:06 · 数据源: NVD/GitHub-Advisory/OSV/CISA-KEV/Exploit-DB/PoC-in-GitHub + 检测规则库