CVE-2026-63030 - إثبات مفهوم لخلط مسار REST API في WordPress

الوصف

استغلال إثبات مفهوم لـ CVE-2026-63030، وهي ثغرة قبل المصادقة في WordPress (الإصدارات 6.9.0 حتى 7.0.1). يجمع ما يلي:

• خلط مسار الدُفعة في REST API (عدم تطابق بين التحقق والإرسال)
• حقن SQL عبر معامل author_exclude
• تسميم ذاكرة التخزين المؤقت لـ oEmbed + تصعيد الصلاحيات عبر changeset الخاص بـ Customizer
• إنشاء مستخدم مسؤول
• رفع إضافة لتنفيذ أوامر عن بُعد

المتطلبات

• Python 3.10+
• الهدف: WordPress 6.9.0 – 7.0.1 مع وجود منشور/صفحة منشورة واحدة على الأقل
• لا تبعيات خارجية (المكتبة القياسية فقط)

الاستخدام

python3 cve_2026_63030_exp.py --url http://target-wordpress.com/ --command "whoami"

الخيارات

الوسيط	الوصف
--url	رابط الجذر لموقع WordPress الهدف (مطلوب)
--username	اسم مستخدم المسؤول الذي سيتم إنشاؤه (يُولَّد تلقائيًا إذا تم حذفه)
--password	كلمة مرور المسؤول (تُولَّد تلقائيًا إذا تم حذفها)
--email	بريد المسؤول الإلكتروني (يُولَّد تلقائيًا إذا تم حذفه)
--command, -c	الأمر المراد تنفيذه عبر الإضافة (الافتراضي: id)
--post-id	تحديد معرف منشور منشور (يُكتشف تلقائيًا إذا تم حذفه)
--timeout	مهلة HTTP بالثواني (الافتراضي: 60)

مثال

# Auto-exploit with random admin credentials and run 'id'
python3 exploit.py --url http://192.168.1.100/wordpress/

# Custom admin and command
python3 exploit.py --url https://vuln-site.com/ --username backdoor --password 'H4ckMe!' --command 'ls -la /var/www/html'

كيف يعمل (نظرة عامة)

1. SQLi – يرسل طلب دُفعة مصممًا بعناية مع معامل author_exclude خبيث، مستغلًا خلط المسار لتنفيذ استعلام UNION.
2. تصعيد الصلاحيات – يسمم ذاكرة التخزين المؤقت لـ oEmbed، ثم يستخدم نقطة نهاية Customizer لإنشاء مستخدم مسؤول جديد عبر REST API.
3. RCE – يسجل الدخول كمسؤول جديد، ويرفع إضافة بسيطة تنفذ أوامر النظام عبر shell_exec().
4. الإخراج – يطبع نتيجة الأمر إلى stdout.

إخلاء مسؤولية

هذا مجرد إثبات مفهوم.
وهو مخصص لـ:

• البحث الأمني
• اختبار الاختراق المصرح به
• بيئات المختبر المحلية

لا تستخدمه ضد أنظمة لا تملكها أو ليس لديك إذن كتابي صريح لاختبارها. لا يتحمل المؤلفون أي مسؤولية عن سوء الاستخدام.

ملاحظات

• لا يقوم الاستغلال بحذف المستخدم المسؤول أو الإضافة بعد التنفيذ – تعامل مع ذلك يدويًا.
• إذا كان الهدف يحتوي على WAF أو wp-config.php محصّن، فقد يفشل حقن SQL.
• للحصول على أفضل النتائج، عطّل DISALLOW_FILE_MODS وDISALLOW_UNFILTERED_HTML في إعدادات الهدف.

---