التنبيه (من خريطة المصدر)

حقن كائنات PHP هو maybe_unserialize على بيانات الاتصال الوصفية، وليس إجراء ajax action=. بروتوكول HTTP هو REST mint-form-submit. أسماء دوال PHP ليست action=.

نقطة الدخول

• الطريقة: POST
• المسار: /?rest_route=/mint-mail/v1/mint-form-submit
• الموجّه: REST mint-mail/v1/mint-form-submit (FormSubmissionController::mrm_submit_form). قيمة permission_callback دائمًا true. wp_nonce هو wp_rest (uid 0). post_data هي حقول نموذج بصيغة query-string.
• ملاحظات: CVE-2026-84753 CWE-502: تُخزَّن حقول النموذج غير المصادَق عليها كبيانات وصفية للاتصال، ثم يقوم ContactModel::safe_unserialize_meta() بعمل maybe_unserialize() عليها (تُنشأ الكائنات قبل تجاهل is_array). الإصدار 1.31.1 يرفض مدخلات is_serialized() ويستخدم allowed_classes=>false. بذرة المختبر تُدرج mint_forms id=1 وصفحة slug mm-lab-nonce مع MM_NONCE=. أرسل مرتين بنفس البريد الإلكتروني حتى يصل الطلب الثاني إلى ContactModel::get. الشاهد هو اسم الفئة الفريد POCWitness84753 في خطأ 500/JSON أو debug.log — وليس reverse shell. أول POST يخزّن الحمولة؛ وثاني POST يقوم بعمل unserialize لها.

سلسلة الاستدعاء

• GET /?rest_route=/wp/v2/pages&slug=mm-lab-nonce → MM_NONCE
• POST mint-mail/v1/mint-form-submit post_data email+form_id+serialized extra field
• FormAction::handle_form_submission stores meta verbatim (FormAction.php:58-64, 265)
• second POST existing contact → ContactModel::get → safe_unserialize_meta maybe_unserialize (ContactModel.php:1552-1557)
• object __wakeup/__destruct / unknown class error

الشروط المسبقة للمختبر

• WordPress مع تفعيل mail-mint 1.31.0
• صف mint_forms id=1 بحالة published
• MM_NONCE العام = wp_rest nonce لـ uid 0
• تعطيل double opt-in حتى لا يحدث fatal في WPMailMailer is_plugin_active() قبل تخزين البيانات الوصفية
• فئة canary في mu-plugin الخاص بالمختبر POCWitness84753 (wakeup/destruct تسجّل الاسم؛ وليست سلسلة gadget)

الشاهد

يحتوي الرد أو debug.log على POCWitness84753 (فئة غير معروفة أثناء unserialize). HTML القالب، أو رسالة nonce bot، أو JSON نجاح بدون خطأ فئة ليس هو شاهد حقن الكائنات.

ليس نجاحًا

• HTML عام 200 hello world
• Seems like you are a bot
• Form is not valid / Email Field Not found
• حالة success بدون خطأ unserialize (لم يتم إنشاء الحمولة أبدًا)
• reverse shell أو اتصال صادر

الترقيع / المعالجة

افعل هذا أولًا: حدّث Mail Mint إلى 1.31.1 أو أحدث.

تحقق بعد الترقية

• أعد تشغيل CVE-2026-84753-Abraxas-Labs.py مقابل البناء المُرقَّع: يجب ألا يظهر الشاهد المُعيَّن.
• أكّد تنبيه المورّد / changeset في الشجرة المنشورة (انظر المراجع).
• توقيع WAF هو تأخير، وليس ترقيعًا.

إذا لم تستطع التحديث فورًا

• عطّل أو اعزل المكوّن المتأثر.
• ابحث عن حالة الشاهد في بيئة الإنتاج (مستخدمون مميزون جدد، ملفات غير متوقعة، صفوف مُدرجة — أي شيء تسميه خريطة هذا CVE).

إعادة الإنتاج (مختبر مُصرَّح به)

استهدف فقط http://127.0.0.1:8088 (أو loopback الذي ربطته). لا توجّه هذا السكربت إلى الإنترنت.

النجاح هو الشاهد أعلاه في جسم الرد. HTML عام 200 ليس كذلك.

صور المختبر

حزمة loopback المستخدمة لإعادة الإنتاج. صور رسمية ما لم يبنِ Dockerfile في هذا المجلد من المصدر.

• lab/docker-compose.yml
• lab/docker-compose.override.yml
• lab/Dockerfile

اربط شجرة المنتج المتأثر بجانب Compose إذا كان ملف YAML يربط دليلًا محليًا (plugin zip / source tag من جدول الإصدارات). لا تنشر شيئًا باستثناء 127.0.0.1.

المراجع

• CVE-2026-84753 · NVD

• CVE-2026-84753 · CVE.org

• patchstack.com/database/wordpress/plugin/mail-mint/vulnerability/wordpress-mail-mint-plugin-1-31-0-php-object-injection-vulnerability?_s_id=cve

• github.com/advisories/GHSA-28vg-wv39-3g8h

• nvd.nist.gov/vuln/detail/CVE-2026-84753

• دليل الإضافات: mail-mint

• متصفح Trac: plugins.trac.wordpress.org/mail-mint

• وسوم SVN: plugins.svn.wordpress.org/mail-mint

• Abraxas Labs: abraxaslabs.tech · github.com/abraxas · @abraxas_null

السجلات (منظمة)

إخلاء المسؤولية

هذه الحزمة مخصصة للمورّد، ومالك الموقع، والمختبرات المُرخَّصة. يتحدث السكربت إلى 127.0.0.1. استخدامه ضد أنظمة لا تملكها غير مُصرَّح به من Abraxas Labs. لا ضمان.

abraxaslabs.tech · github.com/abraxas · @abraxas_null