---

📌 نظرة عامة

CVE-2026-64638 هي ثغرة XSS انعكاسية (Cross-Site Scripting) قبل المصادقة ذات خطورة عالية تؤثر على شاشة تسجيل الدخول في ووردبريس.

في ظل ظروف محددة، يمكن ربط هذه الثغرة في سلسلة تؤدي إلى تنفيذ كود عن بُعد (RCE) على الخادم (يُطلق الباحثون على هذه السلسلة اسم XSS2Shell).

---

🔍 الملخص الفني

توجد الثغرة في الطريقة التي يتعامل بها ووردبريس مع اسم المستخدم عند محاولة تسجيل دخول فاشلة.

• يمر الإدخال عبر sanitize_user() وwp_strip_all_tags() (التي تعتمد على strip_tags() في PHP).
• تسمح المعالجة اللاحقة عبر wp_kses_post() لبعض الحمولات الشبيهة بالوسوم التي تحتوي على مسافات بالبقاء وتصبح عناصر DOM حية.
• تتفاعل هذه العناصر مع JavaScript الخاصة بووردبريس (user-profile.js) المحمّلة على صفحة تسجيل الدخول.
• يمكن للمهاجمين استغلال سلوك REST API / JSONP وتقنيات same-origin لمزيد من التصعيد.

مسار RCE الكامل يتطلب:

1. ضحية مسجّلة الدخول بالفعل بصفة مدير لموقع واحد
2. تفاعل صريح (عادةً نقرة واحدة) مع صفحة يتحكم فيها المهاجم
3. توفر ميزات ووردبريس محددة (كلمات مرور التطبيقات، إمكانية رفع الإضافات، إلخ)

⚠️ تشير ووردبريس إلى أن التصعيد الناجح إلى RCE يعتمد على ظروف خارج السيطرة الكاملة للمهاجم ويتطلب هندسة اجتماعية.

---

📦 الإصدارات المتأثرة والمصحّحة

• جميع الإصدارات من 4.7.0 حتى 7.0.2 متأثرة.
• تظل الإصدارات الأقدم من 4.7 عرضة للثغرة ولكنها خارج نطاق دعم النقل العكسي (backport) الحالي.

---

✅ التخفيف والتوصيات

🚨 حدّث فورًا

• قم بالترقية إلى ووردبريس 7.0.3 (أو الإصدار الأمني المقابل على فرعك).
• المواقع التي لديها تحديثات الخلفية التلقائية مفعّلة يجب أن تستلم الإصلاح تلقائيًا.
• لا تعتمد فقط على إضافات التحصين أو CSP كتخفيف كامل — تصحيح النواة (core) مطلوب.
• انصح المسؤولين بتجنب النقر على الروابط غير المرغوبة أثناء تسجيل الدخول إلى لوحة تحكم ووردبريس.

---

📎 المراجع الرسمية

• استشارة GitHub الأمنية
  GHSA-52p2-r8wf-jcrf

• إصدار ووردبريس 7.0.3
  wordpress.org/news/2026/08/wordpress-7-0-3-release/

• التحليل الفني
  The Hacker News – ثغرة XSS جديدة قبل المصادقة في ووردبريس

---