CVE-2026-60137 — إثبات مفهوم (PoC) لثغرة حقن SQL في نواة ووردبريس

أداة إثبات مفهوم وأداة تحقق غير مدمرة لثغرة CVE-2026-60137، وهي حقن SQL أعمى في نواة ووردبريس (WP_Query::author__not_in)، يمكن الوصول إليها عبر معامل author_exclude في REST API.

السبب الجذري

تبني الدالة WP_Query::get_posts() استعلام SQL عبر دمج متغير الاستعلام author__not_in نصيًا داخل:

... AND {wpdb->posts}.post_author NOT IN ( <value> )

تتم تنقية القيمة (باستخدام absint لكل عنصر) فقط عندما تصل كمصفوفة. وإذا تم تسليمها كسلسلة نصية قياسية — فإن معامل author_exclude في REST يُرسم داخليًا إلى author__not_in — يتم تجاوز الحاجز الوقائي is_array()، لتستقر السلسلة النصية الخام داخل جملة NOT IN (...)، مما يؤدي إلى حقن SQL (CWE-89).

حمولة بالصيغة 1) OR SLEEP(6)# تنتج:

post_author NOT IN ( 1) OR SLEEP(6)# )

والتي تُفسَّر على أنها post_author NOT IN (1) OR SLEEP(6) (حيث تبتلع علامة التعليق # رمز ) الزائد) — استدعاء أعمى نظيف معتمد على الزمن دون أي كتابة في قاعدة البيانات.

الإصدارات المتأثرة / المُصحَّحة

ملاحظات الوصول إلى الثغرة

• 6.9.0+ — يمكن الوصول إلى نقطة الاستغلال دون مصادقة عبر التباس مسار /wp-json/batch/v1.
• 6.8.x — يرفض مخطط REST معامل author_exclude القياسي (HTTP 400) على مسار المقالات الافتراضي، لذا لا يمكن الوصول إلى نقطة الاستغلال عادةً إلا عندما يقوم إضافة أو قالب بتمرير مدخلات غير موثوقة، أو عبر جلسة مصادقة (--cookie) من خلال مسار الدفعات.

ماذا يفعل السكربت

السكربت cve_2026_60137_poc.py للقراءة فقط ولا يعدّل قاعدة البيانات:

1. يبصم الهدف (وسم meta للمولّد، والخلاصة، وreadme.html، وفهرس /wp-json/) للتحقق مما إذا كان الإصدار ضمن النطاقات المتأثرة.
2. يكتشف الحقن باستدعاء أعمى معتمد على الزمن: قياس أساسي مقابل حمولة SLEEP(0) للتحكم في التحليل مقابل حمولة SLEEP(n)، عبر عدة نواقل تسليم (مسارات REST المباشرة، و?rest_route=، ونقطة نهاية الدفعات)، ويُصدر حكمًا بشأن كل ناقل.
3. يستخرج اختياريًا صفًا من wp_users (user_login, user_pass, user_email) عبر توقيت البحث الثنائي الأعمى، باستخدام SELECT/SLEEP بشكل صارم — ولا يكتب في قاعدة البيانات أبدًا.

الاستخدام

# Fingerprint only, no payloads sent
python3 cve_2026_60137_poc.py --url https://target --safe

# Run the detection matrix
python3 cve_2026_60137_poc.py --url https://target --sleep 6 --samples 3

# Authenticated session + extract wp_users row 1
python3 cve_2026_60137_poc.py --url https://target \
    --cookie 'wordpress_logged_in_XXX=YYY' --extract --user-id 1

# Route through Burp, skip TLS verification, save machine-readable evidence
python3 cve_2026_60137_poc.py --url https://target \
    --proxy http://127.0.0.1:8080 --no-verify-tls --json-out evidence.json

الخيارات

الاستخدام القانوني / المسؤول

تُوفَّر هذه الأداة لأغراض الاختبارات الأمنية المصرَّح بها فقط — اختبارات الاختراق، ومسابقات CTF، والأبحاث على أنظمة تملكها أو لديك إذن كتابي صريح لفحصها. تشغيلها ضد أنظمة دون تصريح يعد أمرًا غير قانوني. لا يتحمل المؤلف أي مسؤولية عن سوء الاستخدام.

قد يحتوي أي مخرج يُكتب باستخدام --json-out على عنوان URL المختبر، وبصمة الإصدار، وأدلة التوقيت — تعامل معه كبيانات مهمة حساسة.