CVE-2026-6227

ملخص

The BackWPup plugin for WordPress is vulnerable to Local File Inclusion via the `block_name` parameter of the `/wp-json/backwpup/v1/getblock` REST endpoint in all versions up to, and including, 5.6.6 due to a non-recursive `str_replace()` sanitization of path traversal sequences. This makes it possible for authenticated attackers, with Administrator-level access and above, to include arbitrary PHP files on the server via crafted traversal sequences (e.g., `....//`), which can be leveraged to read sensitive files such as `wp-config.php` or achieve remote code execution in certain configurations. Administrators have the ability to grant individual users permission to handle backups, which may then allow lower-level users to exploit this vulnerability. إضافة BackWPup الخاصة بـ WordPress معرضة لثغرة تضمين الملفات المحلية (Local File Inclusion) عبر معامل `block_name` في نقطة نهاية REST `/wp-json/backwpup/v1/getblock` في جميع الإصدارات حتى الإصدار 5.6.6 وما يشمله، وذلك بسبب تعقيم غير تكراري عبر دالة `str_replace()` لتسلسلات اجتياز المسار. وهذا يتيح للمهاجمين المصادق عليهم، ممن يملكون صلاحيات مستوى المسؤول (Administrator) أو أعلى، تضمين ملفات PHP عشوائية على الخادم عبر تسلسلات اجتياز مصممة بعناية (مثل `....//`)، وهو ما يمكن استغلاله لقراءة ملفات حساسة مثل `wp-config.php` أو تحقيق تنفيذ أكواد عن بُعد في بعض الإعدادات. كما يمتلك المسؤولون القدرة على منح المستخدمين الفرديين إذنًا للتعامل مع النسخ الاحتياطية، وهو ما قد يسمح للمستخدمين ذوي الصلاحيات الأدنى باستغلال هذه الثغرة.

• CVE-2026-6227PoC

  # إثبات مفهوم تعليمي لـ CVE-2026-6227 إثبات مفهوم تعليمي لثغرة CVE-2026-6227، وهي ثغرة تضمين ملفات محلي (Local File Inclusion) تتطلب مصادقة في إضافة BackWPup لـ WordPress، بما في ذلك تحليل السبب الجذري، وطلب الاستغلال، وإرشادات التخفيف.