POC-AIOWPM-CVE-2026-19949 — إثبات مفهوم قابل للتكرار قائم على Docker لثغرة CVE-2026-19949، وهي حقن SQL من الدرجة الثانية في All-in-One WP Migration <= 7.109 والتي تسرّب ai1wm_secret_key عبر REST مجهول وتتصاعد إلى تنفيذ تعليمات برمجية عن بُعد. | Kitploit

المشكلة تكمن في *negative lookbehind* `(?<!\\)`: **يفحص بايتًا واحدًا فقط**
قبل كل علامة اقتباس مرشحة للإغلاق، بدلاً من عدّ *run* الكامل من
الشرطات المائلة العكسية (backslashes). في تفريغ MySQL، تُكتب البيانات التي تنتهي بـ `\` على النحو
`...\\'` — علامة اقتباس إغلاق مسبوقة بعدد **زوجي** من الشرطات المائلة العكسية
(سلسلة حقيقية تنتهي بشرطة مائلة عكسية) — لكن regex يعتبرها مُهرَّبة و
**يُفرط في التقاط النص الحرفي التالي**. ينفّذ callback بعد ذلك
`unescape_mysql → replace_serialized_values → escape_mysql` على القيمة
المُلتقطة بشكل مفرط، وتُعيد تلك الدورة إصدار تسلسل غير متوازن من علامات الاقتباس/الشرطات المائلة العكسية
الذي **يقلب حد سلسلة MySQL** في العبارة
الناتجة، مما يرفع بيانات المهاجم إلى SQL قابل للتنفيذ.

## 2. السبب الجذري: regex الذي يقلب السلسلة

مع زرع trackback (انظر §4)، يكون الصف في `database.sql` هو:```sql
INSERT INTO `…_comments` VALUES (2,4,'Jack Blogs\\\\','','/*payload*/…','172.18.0.1',…);

من هناك، كل ما يلي في الجملة يُعاد ترميزه مع تغيير التكافؤ (البيانات التي كانت سلاسل تصبح كودًا والعكس صحيح). يعالج regex المُصحح في 7.110 نفس السطر ويعيده **مطابقًا تمامًا**.

يمكنك رؤيته بايتًا بايت، دون استغلال أي شيء، باستخدام `make demo-flip`
(`exploit/04_demo_flip.php`)، الذي ينفذ الكود الحقيقي للإضافة 7.109 و
7.110 على نفس سطر التفريغ.

## 3. التصحيح (7.109 ← 7.110)```diff
- $input = preg_replace_callback( "/'(.*?)(?<!\\\\)'/S", array( $this, 'replace_table_values_callback' ), $input );
+ $input = preg_replace_callback( "/'((?:[^'\\\\]++|\\\\.)*+)'/sS", array( $this, 'replace_table_values_callback' ), $input );

ينتهي اسم المدونة بـ \ → النظرة الخلفية ذات البايت الواحد في التعبير النمطي الضعيف تلتقط الحرف التالي بشكل زائد وتقلب دورة unescape→escape حد السلسلة.
بعد الانقلاب، تبقى URL المهاجم كـكود SQL عارٍ في عبارة INSERT (يمتص comment_author المدمج وسلسلة , الإزاحة؛ فاصلة أولية في URL تستعيد الفاصل الهيكلي المبتلع).
توفر URL التعبيرات الـ12 المتبقية من الصف مع حروف سداسية عشرية و/**/ كفواصل:
- علامة اقتباس من البيانات تصل إلى التفريغ كـ\' وفي منطقة الكود ستترك شرطة مائلة يتيمة (خطأ 1064) → ومن هنا السداسي (0x616931776d… = "ai1wm_secret_key");
- يزيل sanitize_url المسافات (ويضيف http:// أمام كل ما لا يبدأ بـ /) → ومن هنا البداية /*pwn*/ و/**/;
- تعيين الأعمدة: العمود 5 (comment_author_url) = الاستعلام الفرعي الذي يقرأ المفتاح → ينتهي المفتاح في حقل عام؛ العمود 11 = 0x31 ('1'، تعليق معتمد)؛ العمود 13 = 0x636f6d6d656e74 ('comment'، مرئي في REST المجهول);
- ) يغلق الصف بـ15 قيمة بالضبط و# (تعليق MySQL بدون مسافة، يحترمه sanitize_url) يحيد بقية العبارة الأصلية.
يشير الاستعلام الفرعي إلى SERVMASK_PREFIX_options: يعيد المستورد كتابة البادئات SERVMASK→الحقيقية قبل مرور التعبير النمطي، لذا تعمل الحمولة على مواقع بأي بادئة جدول (تم التحقق). البيانات الوحيدة الخاصة بالهدف هي URL الخاصة به، المحمولة في المقتطف لإطلاق فلتر strpos للمستورد (يعيد كتابة الأسطر التي تحتويها فقط).

خطوة السلسلة	الحالة	المكان
تثبيت ضعيف قابل لإعادة الإنتاج (WP 7.1 + إضافة 7.109)	✅	`make lab`
زرع بدون مصادقة عبر trackback (مطابق للبايت، معتمد تلقائيًا)	✅	`make plant`
تصدير المدير؛ يحتوي التفريغ على الصف المزروع	✅	`make export`
السبب الجذري: التعبير النمطي 7.109 يقلب حد السلسلة (مقابل 7.110 سليم)	✅	`make demo-flip`
استعادة المدير: الانقلاب يعيد كتابة SQL ويفسد/يفقد الصف في 7.109	✅	`make restore`
تسريب المفتاح (حمولة مشتقة خاصة) → تسريب حقيقي عبر REST بدون مصادقة	✅	`make leak`
RCE: استيراد بدون مصادقة مع المفتاح → تنفيذ mu-plugin	✅	`make rce-auto`
تحكم سلبي: في 7.110 يبقى الصف سليمًا، بدون تسريب	✅	`make control-7110`
مصفوفة WP 7.1 / 7.0.4 / 6.9.4 / 6.8.3: سلسلة كاملة ✓ في الكل	✅	`research/test-wp-versions.sh`
سلسلة كاملة عن بُعد (HTTP فقط، صالحة لنطاق حقيقي)	✅	`python3 cli/poc.py explotar …`

docker-compose.yml WordPress (php8.2-apache) + MySQL 8; PLUGIN_VERSION y WP_VERSION configurables (7.109 por defecto, 7.110 control) docker/wordpress/Dockerfile imagen del sitio víctima: wp-cli + plugin de WordPress.org setup/init.sh core install, activa el plugin, crea la entrada con pings abiertos, comentarios sin moderación exploit/ ← fases numeradas de la PoC 01_plant_trackback.sh Fase 1 — trackback malicioso (no autenticado) 02_export.sh Fase 2a — export del admin (vía aiowpm_client) 03_restore.sh Fase 2b — restauración del admin + ANTES/DESPUÉS de la fila 04_demo_flip.php Causa raíz byte a byte: regex 7.109 vs 7.110 05_build_wpress.py Construye el .wpress malicioso (package.json + mu-plugin) 06_rce_unauth.py Fase 3 — import no autenticada con la clave → RCE 07_leak_key.sh Fase 3a — lee la clave filtrada de la REST anónima aiowpm_client.py Cliente del protocolo AJAX del plugin (export/import por prioridades, como su JavaScript) wpress.py Lector/escritor del formato .wpress (bloques de 4377 B) mu_plugin.php Mu-plugin BENIGNO (marcadores de evidencia, sin shell) investigacion/ Arneses y fuzzers con los que se DERIVÓ el payload: harness.php (pipeline real del plugin + MySQL de prueba), afinar/test/fuzzers, NOTAS.md del análisis cli/poc.py CLI de demostración: lab / scan / verificar / explotar web/index.html Landing bilingüe del CVE (estilo base de datos de vulnerabilidades; sin dependencias externas) research/ test-wp-versions.sh Matriz de compatibilidad por versión de WordPress poc-publica/ANALISIS.md Refutación forense de las «PoC públicas» falsas Makefile Objetivos: lab, plant, export, restore, demo-flip, leak, rce-auto, full-demo, control-7110, demo-cli… README.md / README.en.md Esta documentación (ES/EN) .gitignore Fuera: informes con claves, .wpress generados, zips y fuentes del plugin (terceros), PoC falsas descargadas

القطع الأثرية التي يتم توليدها عند التنفيذ **ولا تتم مشاركتها** (انظر `.gitignore`):
`informes/` (تحتوي على مفاتيح تمت تصفيتها)، `exploit/malicious.wpress`،
`plugin-src/` (المصادر 7.109/7.110 المستخرجة للمقارنة)، `research/*.zip`
(ملفات zip الأصلية من WordPress.org)، `research/database.sql`،
`research/backup-legit.wpress` وملفات الـ PoC المزيفة التي تم تحليلها.

## 9. المتطلبات والإقلاع السريع

المتطلبات: Docker (مع إضافة compose)، make، python3 مع `requests`، curl.```bash
make full-demo      # laboratorio completo de cero: lab → plant → export →
                    # restore → flip → leak → rce (todo lo anterior de una vez)

الوصول إلى موقع الضحية: <http://localhost:8080> — admin / `admin-password-123`
(إدخال عام بالمعرف 4 مع pings وتعليقات مفتوحة).

## 10. المراحل خطوة بخطوة (أهداف make)```bash
make lab             # levantar/inicializar el laboratorio (plugin 7.109)
make plant           # Fase 1 — plantar el trackback (anónimo)
make export          # Fase 2a — exportar como admin
make restore         # Fase 2b — restaurar como admin (muestra ANTES/DESPUÉS)
make demo-flip       # causa raíz: 7.109 vs 7.110 sobre la misma línea
make leak            # Fase 3a — leer la clave filtrada de la REST (anónimo)
make rce KEY=XXXX    # Fase 3 — RCE pasando la clave a mano
make rce-auto        # Fase 3 — RCE encadenado con la clave filtrada
make control-7110    # control negativo con el plugin parcheado
make lab-7109        # volver al laboratorio vulnerable tras el control
make demo-cli        # demo completa vía CLI (+ informe y control negativo)
make scan-cli URL=https://www.ejemplo.com   # detección no invasiva
make landing         # servir la landing del CVE en http://localhost:8090
make status | logs   # estado de contenedores / log de WordPress
make down | clean    # parar / parar y borrar volúmenes y artefactos

- `lab` يرفع المختبر، وينفّذ السلسلة الكاملة والتحكم السلبي مع 7.110، ويكتب التقرير (`--sin-control` لتخطيه).
- `scan` سلبي 100%: يقرأ `readme.txt` العام للمكوّن الإضافي، ويتحقق من `wp-trackback.php` و REST التعليقات. يُرجع الحكم.
- `verificar` يعيد التحقق مما إذا كان المفتاح قد ظهر بالفعل في REST المجهول (مثلًا بعد ساعات من الزرع، عندما يقوم المسؤول بعملية النسخ الاحتياطي والاستعادة).
- `explotar` اجتياحي ويتطلب `--acepto-responsabilidad` + تأكيدًا تفاعليًا للنطاق: يزرع الـ trackback، ويحاكي المسؤول (تصدير ← تنزيل النسخة الاحتياطية ← إعادة الرفع والاستعادة؛ **HTTP فقط**، مع بيانات الاعتماد التي تقدمها أنت من موقعك)، ويقرأ المفتاح المسرّب، ومع `--rce`، يترك علامة حميدة عبر الاستيراد المجهول. بدون بيانات اعتماد المسؤول: يزرع ويبقى في الانتظار (`--esperar` لتحمّل التسريب؛ `--post-id` لاختيار الإدخال؛ `--no-interactivo` للنصوص البرمجية).

## 12. هبوط CVE

صفحة ثابتة ثنائية اللغة (ES/EN، مع مبدّل في الترويسة، وتفضيل محفوظ) تشرح CVE والحمولة بأسلوب قاعدة بيانات الثغرات: ملخص، سلسلة، **تفكيك تفاعلي للحمولة مقطعًا بمقطع**، ومصفوفات التحقق والتخفيف.```bash
make landing          # sirve http://localhost:8090

CVE	CVE-2026-19949
الملحق	All-in-One WP Migration and Backup (ServMask)، ≤ 7.109
التصحيح	7.110 (20 أغسطس 2026)
CVSS	8.8 (عالية) — AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
المتطلب	أن يقوم مسؤول بتصدير واستعادة الموقع (إجراء روتيني مع هذا الملحق)
الباحث	Jack Taylor (برنامج مكافآت Wordfence)

POC-AIOWPM-CVE-2026-19949

الأكثر شعبية

الفهرس

1. ملخص الثغرة

4. سلسلة الهجوم الكاملة

5. الحمولة المشتقة (تصميم خاص)

6. ما يعيد إنتاجه ويتحقق منه هذا المستودع

7. توافق الإصدارات (تم التحقق)

8. بنية المستودع```

11. CLI للعرض التوضيحي

13. الاكتشاف والتخفيف

14. ملاحظات البحث

15. المراجع

16. إخلاء مسؤولية قانوني

WordPress	plant	export	restore	leak	RCE
7.1.0	✓	✓	✓	✓	✓
7.0.4	✓	✓	✓	✓	✓
6.9.4	✓	✓	✓	✓	✓
6.8.3	✓	✓	✓	✓	✓