CVE-2026-63030 — استغلال wp2shell في WordPress

أداة كشف واستغلال غير مصادَق عليها لثغرة batch-confusion في نواة WordPress (CVE-2026-63030 / CVE-2026-60137)، والتي تؤدي إلى حقن SQL وتنفيذ تعليمات برمجية عن بُعد (RCE) عبر نقطة نهاية الدُفعات (batch) في REST API.

⚠️ لأغراض اختبار الأمان المصرَّح به والأغراض التعليمية فقط. راجع إخلاء المسؤولية أدناه.

---

نظرة عامة

تكشف إصدارات WordPress المتأثرة عن نقطة نهاية الدُفعات في REST API عند:

• POST /wp-json/batch/v1، أو
• POST /?rest_route=/batch/v1 (بديل عند تعطيل الروابط الدائمة الجميلة / wp-json)

من خلال خلل batch confusion، تتم معالجة الطلبات الفرعية المتداخلة داخل جسم الدُفعة دون تفويض مناسب، مما يسمح لمهاجم غير مصادَق عليه بحقن SQL (على سبيل المثال عبر المعامل author_exclude) وتحقيق RCE في النهاية.

يوفر هذا المستودع:

الملف	الغرض
cve-2026-63030.py	واجهة سطر أوامر Python — كشف الإصدار، تحديد نقطة نهاية الدُفعات، تأكيد حقن SQL الأعمى القائم على SLEEP، واستخراج البيانات عبر --query. يدعم الفحص الجماعي والخيوط والوكلاء.
cve-2026-63030.yaml	قالب Nuclei — فحص سلبي للإصدار + كشف نشط لحقن SQL القائم على الوقت عبر كلا متغيري نقطة النهاية.

الإصدارات المتأثرة

الفرع	النطاق المتأثر
6.8.x	6.8.0 – 6.8.5
6.9.x	6.9.0 – 6.9.4
7.0.x	7.0.0 – 7.0.1

تم إصلاحها في 6.8.6 و6.9.5 و7.0.2.

المتطلبات

• Python 3.8+
• requests
• beautifulsoup4

pip install requests beautifulsoup4

الاستخدام

python3 cve-2026-63030.py [options]

الخيارات

العلم	الوصف
-u, --url URL	عنوان URL هدف واحد.
-l, --list FILE	ملف بعناوين URL الهدف (واحد في كل سطر؛ يُسمح بتعليقات #) للفحص الجماعي.
-p, --proxy URL	توجيه الطلبات عبر وكيل (مثل http://127.0.0.1:8080).
-t, --threads N	التزامن في وضع الفحص الجماعي (الافتراضي 10).
-q, --query SQL	استعلام SQL لاستخراج البيانات عبر الحقن الأعمى القائم على الوقت، مثل "select @@version".
--exploit	إطلاق حمولة SLEEP لتأكيد الاستغلال.
--delay SEC	نافذة SLEEP للحقن الأعمى SQLi (الافتراضي 2).
--timeout SEC	مهلة كل طلب (الافتراضي 10).
--silent	كتم اللافتة.

-u/--url و -l/--list متعارضان ولا يمكن استخدامهما معًا.

أمثلة

# 1. Detect whether a single target is vulnerable (version + batch endpoint)
python3 cve-2026-63030.py -u http://target.tld/

# 2. Route through Burp/ZAP
python3 cve-2026-63030.py -u http://target.tld/ -p http://127.0.0.1:8080

# 3. Confirm exploitation via the SLEEP payload
python3 cve-2026-63030.py -u http://target.tld/ --exploit --delay 5

# 4. Exfiltrate data through time-based blind SQLi
python3 cve-2026-63030.py -u http://target.tld/ -q "select @@version"
python3 cve-2026-63030.py -u http://target.tld/ -q "select user()"

# 5. Bulk scan a list of hosts and extract DB version from each vulnerable one
python3 cve-2026-63030.py -l hosts.txt -t 20 -q "select @@version"

كيف يعمل

1. كشف الإصدار — يحلّل وسم <meta name="generator"> ويتحقق منه مقابل النطاقات المتأثرة.
2. تحديد نقطة النهاية — يحاول /wp-json/batch/v1 أولاً، ثم يتراجع إلى /?rest_route=/batch/v1 فقط إذا لم تستجب الأولى.
3. التأكيد — يرسل --exploit حمولة SLEEP(n) ويتحقق من أن الاستجابة تتوقف فعلياً (duration >= delay).
4. الاستخراج — يستخرج --query نتيجة حرفاً واحداً في كل مرة عبر البحث الثنائي (IF(ASCII(SUBSTRING(...)), SLEEP(n), 0)).

قالب Nuclei

# Validate
nuclei -tl -t cve-2026-63030.yaml

# Scan
nuclei -t cve-2026-63030.yaml -l hosts.txt
nuclei -t cve-2026-63030.yaml -u http://target.tld/

يفحص القالب كلا متغيري نقطة النهاية ويؤكد حقن SQL المعتمد على الوقت عبر duration >= 5، مشروطًا بإصدار WordPress متأثر.

إخلاء المسؤولية

يُقدَّم هذا المشروع بشكل صارم لأغراض تعليمية واختبار أمني مُصرَّح به. لا يجوز لك استخدامه إلا ضد الأنظمة التي تملكها أو التي لديك إذن صريح ومكتوب لاختبارها (مثل نطاق اختبار اختراق، أو برنامج مكافآت الثغرات، أو CTF).

الفحص أو الاستغلال غير المُصرَّح به للأنظمة التي لا تملكها أو غير المُصرَّح لك باختبارها غير قانوني وقد يُشكّل جريمة جنائية بموجب قوانين إساءة استخدام الحاسوب (مثل CFAA في الولايات المتحدة، وComputer Misuse Act في المملكة المتحدة، والقوانين المكافئة في أماكن أخرى).

لا يتحمّل المؤلفون والمساهمون أي مسؤولية ولا يقبلون أي تبعة عن أي ضرر أو فقدان بيانات أو عواقب قانونية تنشأ عن استخدام أو إساءة استخدام هذا البرنامج. باستخدامك لهذه الأداة، فإنك تُقرّ بأن استخدامك قانوني وأنك تتحمّل جميع المخاطر المرتبطة به.

عند الشك، لا تشغّله.

المراجع

• WordPress Security Advisory — GHSA-ff9f-jf42-662q
• WordPress 7.0.2 Release Notes
• WPScan
• SCLyber — wp2shell research

المؤلف

0xh7ml — يُقدَّم كما هو، لأغراض البحث الدفاعي والتعليم.