CVE-2026-80099

ملخص

تُعدّ عدة إضافات Newfold عرضة لتجاوز المصادقة. توجد الثغرة لأن الإضافات تُضمّن وحدة wp-module-data. في الوحدة، تُنفّذ الدالة `authenticate()` — المسجّلة على مرشّح `rest_authentication_errors` وبالتالي تُقيَّم لكل طلب REST API غير مُصادَق — مقارنة رمز Bearer بنمط HMAC تتدهور عندما تُعيد `HiiveConnection::get_auth_token()` القيمة `false`: يُحوّل PHP تعبير `strrev(false)` إلى `strrev('')`، مما يُقلّص الملح السري إلى الثابت المعروف علنًا `hash('sha256', '') = e3b0c44...`، بينما تبقى جميع مدخلات التجزئة المتبقية (طريقة HTTP، وعنوان URL للطلب، والجسم الخام للطلب، وترويسة `X-Timestamp`) خاضعة بالكامل لسيطرة المهاجم. وهذا يجعل من الممكن للمهاجمين غير المُصادَقين حساب رمز Bearer صالح بالكامل دون اتصال، واجتياز فحص تطابق الرمز، واستدعاء `wp_set_current_user()` على أول مسؤول يُعيده `get_users(['role' => 'administrator'])`، مما يمنح وصولًا كاملًا بمستوى المسؤول ويُمكّن من عمليات REST API التعسفية مثل إنشاء حسابات مسؤول جديدة وتحقيق استيلاء كامل على الموقع. الإصدارات المعرّضة للثغرة هي WP Plugin Crazy Domains (<= 2.5.2)، وWP Plugin Web (<= 2.3.4)، وWP Plugin Hostgator (<= 3.1.0)، وWP Plugin Bluehost (<= 4.17.1). الوحدة المتأثرة معرّضة للثغرة في الإصدارات حتى 2.9.4 ضمناً.

• CVE-2026-80099PoC

  إضافات Newfold (wp-module-data <= 2.9.7) بدون مصادقة