CVE-2026-5524

ملخص

إضافة Divi Form Builder لووردبريس عرضة لثغرة رفع ملفات تعسفي (Arbitrary File Upload) تؤدي إلى تنفيذ التعليمات البرمجية عن بُعد (Remote Code Execution) في جميع الإصدارات حتى 5.1.8 وما يشملها. ويعود السبب إلى عدم كفاية التحقق من امتدادات الملفات في الدالة `do_image_upload()` حيث يتم إقحام مدخلات المستخدم المقدمة من خلال معامل POST باسم `acceptFileTypes` مباشرةً في تعبير نمطي يُستخدم للتحقق من الملفات المرفوعة. يمكن للمهاجمين تحديد امتدادات قابلة للتنفيذ بلغة PHP مثل `.phtml` أو `.phar` أو `.php5` أو `.php7` لتجاوز حماية `.htaccess` الخاصة بالإضافة والتي تمنع ملفات `.php` فقط على وجه التحديد. بالإضافة إلى ذلك، على الخوادم القائمة على Nginx، تكون حماية `.htaccess` غير فعالة تمامًا لأن Nginx لا يعالج ملفات `.htaccess`. وهذا يتيح للمهاجمين غير المصادَق عليهم (الذين يمكنهم الحصول على nonce من أي صفحة عامة تحتوي على نموذج) رفع ملفات PHP قابلة للتنفيذ إلى الدليل العام `/wp-content/uploads/de_fb_uploads/` وتحقيق تنفيذ التعليمات البرمجية عن بُعد عن طريق الوصول إلى الملف المرفوع عبر HTTP. تم إصلاح الثغرة جزئيًا في الإصدار 5.1.3.

• CVE-2026-5524-PoCاستغلال

  أداة استغلال جماعي لثغرة CVE-2026-5524، وهي ثغرة رفع ملفات غير مصادق عليها تؤدي إلى تنفيذ أوامر عن بُعد (RCE) في Divi Form Builder. تتضمن الميزات فحصًا متعدد الخيوط، وتقنيات تجاوز جدار الحماية (WAF)، ونشر قشرة ويب مخصصة، وتنفيذ أوامر تفاعلي.

• CVE-2026-5524-PoCاستغلال

  مجموعة أدوات استغلال جماعي بلغة Python لـ CVE-2026-5524، وهي ثغرة تنفيذ أوامر عن بُعد عبر رفع ملفات دون مصادقة في إضافة Divi Form Builder الخاصة بـ WordPress، مع رفع webshell وتنفيذ الأوامر.