CVE-2026-9848

CVE-2026-9848 هي ثغرة حقن SQL (SQLi) بدون مصادقة تؤثر على إضافة WP Ticket (نظام تذاكر دعم العملاء والمساعدة) لوردبريس حتى الإصدار 6.0.4 ضمناً. يحدث الخلل لأن المكوّن الإضافي يأخذ معامل البحث s الخاص بووردبريس ويدمجه مباشرة في جملة SQL LIKE داخل استعلام فرعي UNION دون استخدام $wpdb->prepare() أو تهريب مناسب. ونتيجة لذلك، يمكن لمهاجم عن بُعد التلاعب باستعلامات قاعدة البيانات واستخراج معلومات حساسة دون مصادقة.

البرامج المتأثرة

نوع الثغرة

• الفئة: حقن SQL (SQL Injection)
• CWE-89: تحييد غير صحيح للعناصر الخاصة المستخدمة في أمر SQL ('حقن SQL')

السبب الجذري

يربط المكوّن الإضافي فلتر posts_request الخاص بووردبريس عبر wp_ticket_com_posts_request(). أثناء بحث غير مصادق عليه في الواجهة الأمامية، يستدعي في النهاية الدالة emd_author_search_results()، التي تقرأ معامل البحث:

$query->query_vars['s']

في هذه المرحلة، يكون ووردبريس قد أزال الاقتباسات السحرية باستخدام wp_unslash(). بدلاً من معالجة عبارة SQL بشكل آمن باستخدام المُعاملات، يدمج المكوّن الإضافي مدخلات المستخدم الخام مباشرة في جملة SQL LIKE داخل استعلام فرعي UNION.

مفهومياً:

User searches website
        │
        ▼
Search parameter "s" received
        │
        ▼
Plugin concatenates value into SQL query
        │
        ▼
No $wpdb->prepare()
        │
        ▼
Database executes modified query

توجد الثغرة لأن المدخلات غير الموثوقة تُدمج في SQL باستخدام دمج السلاسل النصية (String Concatenation) بدلاً من الاستعلامات المُعاملات (Parameterized Queries).

يتمثل جوهر الثغرة في كيفية بناء المكوّن الإضافي لاستعلام SQL الرئيسي:

sql
SELECT * FROM wp_posts 
WHERE post_title LIKE '%[attacker's input]%' 
UNION [attacker's injected SQL]

تفصيل استعلام SQL الضعيف

• نقطة البداية: يبدأ المكوّن الإضافي باستعلام ووردبريس قياسي للبحث عن المنشورات، مثل SELECT * FROM wp_posts WHERE post_title LIKE '%...%'.
• الدمج غير الآمن: يأخذ المكوّن الإضافي القيمة من معامل البحث (s) ويلصقها مباشرة في استعلام SQL. يفعل ذلك دون استخدام دالة ووردبريس الآمنة $wpdb->prepare() أو أي شكل آخر من أشكال التهريب.
• الاستعلام الفرعي UNION: يُلحق المكوّن الإضافي استعلامًا فرعيًا من نوع UNION بالاستعلام الرئيسي. يسمح UNION في SQL للمهاجم بدمج نتائج الاستعلام الرئيسي مع نتائج استعلامه الخبيث.
• الاستعلام النهائي: يصبح الاستعلام النهائي المرسل إلى قاعدة البيانات مزيجًا من البحث المقصود ورمز SQL الذي حقنه المهاجم.

تدفق الهجوم

Attacker
    │
    ▼
Submits a crafted search request
    │
    ▼
WordPress passes the "s" parameter
    │
    ▼
WP Ticket builds SQL query using concatenation
    │
    ▼
Database executes injected SQL
    │
    ▼
Sensitive database information may be disclosed

سيناريو الهجوم

يقوم زائر عادي بإجراء بحث على الموقع:

GET /?s=printer

يدمج المكوّن الإضافي قيمة معامل s في استعلام SQL يبحث عن المعلومات المتعلقة بالتذاكر.

نظرًا لأن المكوّن الإضافي يدمج قيمة البحث مباشرة في عبارة SQL بدلاً من استخدام الاستعلامات المُعاملات، يمكن لطلب بحث مصمم خصيصًا أن يغيّر منطق SQL المقصود. قد يستغل مهاجم غير مصادق عليه هذا السلوك لاسترجاع معلومات حساسة من قاعدة بيانات ووردبريس، مثل أسماء المستخدمين أو بيانات أخرى مخزنة. تعتمد النتيجة الدقيقة على تكوين التطبيق وصلاحيات قاعدة البيانات.

الآن، يمكن للمهاجم التلاعب بمعامل s لحقن استعلام SQL خاص به. على سبيل المثال، يمكنه إدخال:

' UNION SELECT user_login, user_pass FROM wp_users -- -

وهذا يجعل الاستعلام النهائي يبدو بهذا الشكل:

SELECT * FROM wp_posts WHERE post_title LIKE '%' UNION SELECT user_login, user_pass FROM wp_users -- -%'

التأثير

قد يسمح الاستغلال الناجح للمهاجم بـ:

• استخراج معلومات حساسة من قاعدة البيانات.
• تعداد مستخدمي ووردبريس.
• قراءة بيانات تكوين التطبيق.
• الوصول إلى معلومات من جداول قاعدة البيانات الخاصة بالمكوّن الإضافي.
• جمع معلومات مفيدة لهجمات إضافية.

درجة الخطورة

لم ينشر NVD بعد تقييمه الخاص وفق معيار CVSS.

الكود الضعيف (مفاهيمي)

ملاحظة: لم ينشر مطوّر الإضافة التنفيذ الكامل للكود الضعيف. يوضح ما يلي نمط البرمجة الضعيف.

$search = $query->query_vars['s'];

$sql = "
SELECT *
FROM tickets
WHERE title LIKE '%" . $search . "%'
";

$wpdb->get_results($sql);

لماذا يُعد هذا الكود ضعيفًا؟

يتم إنشاء عبارة SQL عن طريق دمج المدخلات التي يتحكم فيها المستخدم مباشرة في سلسلة الاستعلام. ونظرًا لأن هذه المدخلات ليست مُعاملات وليست مهربة، فإنها قد تغيّر بنية عبارة SQL.

الكود المصحح (مفاهيمي)

$search = $query->query_vars['s'];

$sql = $wpdb->prepare(
    "SELECT *
     FROM tickets
     WHERE title LIKE %s",
    '%' . $search . '%'
);

$wpdb->get_results($sql);

لماذا يعمل هذا الإصلاح؟

يفصل استخدام $wpdb->prepare() بين صيغة SQL ومدخلات المستخدم. تتعامل قاعدة البيانات مع قيمة البحث كبيانات وليس كـ SQL قابل للتنفيذ، مما يمنع المهاجمين من تعديل بنية الاستعلام. يستبدل الإصلاح الرسمي في WP Ticket 6.0.5 بناء الاستعلام الضعيف بتنفيذ مُعاملات بشكل صحيح.