wp2shell-poc

إثبات المفهوم لثغرة حقن SQL غير موثّقة في نواة ووردبريس تؤدي إلى تنفيذ أوامر عن بُعد، عبر خلط في مسارات دفعة REST (CVE-2026-63030).

لا يحتاج الاستغلال إلى بيانات اعتماد أو أي إعدادات تتجاوز الوصول إلى الهدف. يصل إلى الحقن من خلال نقطة نهاية واحدة: POST /wp-json/batch/v1.

الاكتشاف نفسه هو أن حقن SQL غير موثّق — يؤكّده الأمر check ويُظهر الأمر read قراءة قاعدة بيانات عشوائية. الأمر shell هو اختياري بعد الاستغلال (استعادة بيانات اعتماد المسؤول ← رفع إضافة ← تنفيذ أوامر)، أُدرج لإظهار التأثير الكامل؛ وهو ليس الثغرة بحد ذاتها.

الإصدارات المتأثرة

الإصدارات الأقدم من 6.9.0 غير متأثرة بهذه السلسلة.

كيف يعمل

نقطة نهاية الدفعة REST (/batch/v1) غير موثّقة وتنفذ عدة طلبات فرعية في استدعاء واحد، معتمدة على أن كل طلب فرعي يتم التحقق منه والتحقق من أذوناته بشكل مستقل.

تقوم serve_batch_request_v1() ببناء مصفوفتين متوازيتين — $matches (المعالج المطابق لكل طلب فرعي) و$validation (نتيجة التحقق لكل طلب فرعي) — ثم تفهرس كلتيهما بنفس الإزاحة عند الإرسال. الطلب الفرعي الذي يفشل مساره في wp_parse_url() يُضاف إلى $validation ولكن ليس إلى $matches، مما يؤدي إلى انحراف المصفوفتين وإرسال طلب فرعي تحت معالج مختلف لذلك الطلب الفرعي. هذا هو الخلط في المسار.

يُدرج إثبات المفهوم الأساس مرتين:

1. طلب POST /wp/v2/posts يحمل نص requests يُرسل تحت معالج الدفعة نفسه. بعد أن تم التحقق منه كطلب منشورات، لا يتم أبدًا فحص قائمة requests الخاصة به مقابل مخطط الدفعة، لذا يمكن لطلباته الفرعية استخدام GET — يتم تجاوز قائمة الأساليب المسموح بها.
2. داخل تلك الدفعة الداخلية، طلب GET /wp/v2/users يحمل سلسلة author_exclude (لا يحتوي مخطط المستخدمين على مثل هذه المعلمة، لذا تمر القيمة دون تغيير بعد التحقق) يُرسل تحت get_items() الخاص بالمنشورات. هناك، يتم تعيين author_exclude إلى متغير استعلام author__not_in الخاص بـ WP_Query، والذي يُدرج النسخة الضعيفة في SQL كسلسلة نصية.

النتيجة هي حقن SQL أعمى قائم على القيمة المنطقية والزمن يمكن الوصول إليه قبل المصادقة. مع الوصول إلى قراءة قاعدة البيانات، يمكن استرجاع تجزئة كلمة مرور المسؤول؛ بعد كسرها، يمنح الوصول كمسؤول تنفيذ أوامر عبر رفع إضافة.

المتطلبات

بايثون 3.8+ والمكتبة القياسية. لا تبعيات خارجية.

الاستخدام

شغّله من مجلد المستودع:

./wp2shell.py <command> <url> [options]

أو pip install . للحصول على أمر wp2shell في مسار PATH الخاص بك.

check — تأكيد الثغرة (آمن)

يؤكد قابلية الاستغلال بفارق زمني تفاضلي. لا يقرأ أي بيانات ولا يغير شيئًا.

./wp2shell.py check http://target

read — استخراج البيانات (حقن SQL أعمى)

./wp2shell.py read http://target                      # بصمة الخادم
./wp2shell.py read http://target --preset users       # أسماء المستخدمين وتجزئات كلمات المرور
./wp2shell.py read http://target --query "SELECT @@version"

shell — تنفيذ أمر (تنفيذ أوامر عن بُعد)

استغلال اختياري بعد الاختراق. يتطلب بيانات اعتماد مسؤول صالحة؛ يسترجع الحقن تجزئة كلمة المرور، لذا قدّم النص الواضح المسترجع هنا.

./wp2shell.py shell http://target --user admin --password '<recovered>' --cmd id
./wp2shell.py shell http://target --user admin --password '<recovered>' -i   # واجهة تفاعلية

يقوم shell برفع إضافة webshell (مقفلة خلف مسار عشوائي ورمز جلسة لكل تشغيل) ويطبع مسارها. قم بإزالتها عند الانتهاء.

الخيارات

المعالجة

قم بالتحديث إلى ووردبريس 6.9.5 أو 7.0.2. لحين ذلك، احجب كلاً من /wp-json/batch/v1 ومعامل الاستعلام rest_route=/batch/v1 عند الحافة، أو اشترط المصادقة على نقطة نهاية الدفعة عبر مرشح rest_pre_dispatch.

قانوني

لأغراض اختبار الأمن المصرح به فقط. استخدمه حصريًا ضد الأنظمة التي تملكها أو لديك إذن كتابي صريح لاختبارها. لا يتحمل المؤلف أي مسؤولية عن سوء الاستخدام.

المراجع

• إعلان إصدار ووردبريس 7.0.2 — https://wordpress.org/news/2026/07/wordpress-7-0-2-release/
• CVE-2026-63030