baktistr/cve-2026-23550-pocمختبر إثبات مفهوم قائم على Bash لـ CVE-2026-23550. يفحص نقاط نهاية تسجيل الدخول لموصل WordPress modular بحثًا عن إصدار ملفات تعريف الارتباط للمسؤول ويتحقق من الوصول إلى لوحة التحكم. يدعم فحص هدف واحد وقائمة مع مهلات قابلة للتكوين.
أداة اختبار Bash صغيرة لثغرة CVE-2026-23550. ترسل طلبًا إلى نقطة نهاية تسجيل الدخول الخاصة بالموصل المعياري (modular connector) المتأثر في ووردبريس، وتتحقق مما إذا كان قد تم إصدار ملف تعريف ارتباط wordpress_logged_in_، وتحاول تأكيد الوصول إلى لوحة التحكم الإدارية.
تحذير: استخدم هذه الأداة فقط على الأنظمة التي تملكها أو التي لديك إذن صريح لاختبارها. قد يكون اختبار الأمان غير المصرح به غير قانوني وقد يسبب تعطيلًا للأنظمة.
curlgrepmktempاجعل السكربت قابلاً للتنفيذ:
chmod +x cve-2026-23550-poc.sh
افحص الهدف المحلي الافتراضي (http://localhost:8080):
./cve-2026-23550-poc.sh
افحص هدفًا واحدًا باستخدام الخيار أو الصيغة الموضعية المتوافقة مع الإصدارات السابقة:
./cve-2026-23550-poc.sh --target https://example.com
./cve-2026-23550-poc.sh https://example.com
افحص قائمة أهداف:
./cve-2026-23550-poc.sh --list targets.txt
يجب أن تحتوي القائمة على عنوان URL أساسي كامل واحد في كل سطر. تُتجاهل الأسطر الفارغة والتعليقات التي تبدأ بـ #:
# Authorized test systems
http://localhost:8080
https://staging.example.com
الخيارات القصيرة مدعومة أيضًا:
./cve-2026-23550-poc.sh -t https://example.com
./cve-2026-23550-poc.sh -l targets.txt
شغّل ./cve-2026-23550-poc.sh --help للحصول على مرجع الأوامر الكامل.
VULNERABLE - admin cookie issued أن نقطة النهاية أصدرت ملف تعريف ارتباط تسجيل دخول خاصًا بووردبريس.Admin dashboard access confirmed أن ملف تعريف الارتباط سمح أيضًا للسكربت باسترداد صفحة تحتوي على علامة لوحة التحكم.No admin cookie أنه لم يتم العثور على ملف تعريف ارتباط تسجيل الدخول المتوقع؛ وهذا وحده لا يُثبت أن الهدف تم تصحيحه بالكامل.تستخدم طلبات الشبكة مهلة اتصال تبلغ 5 ثوانٍ ومهلة إجمالية تبلغ 15 ثانية. يتم اتباع عمليات إعادة التوجيه (مثل http → https أو تطبيع الشرطة المائلة في نهاية الرابط) بحيث يصل الطلب إلى نقطة النهاية الفعلية، ويتم التقاط أي ملفات تعريف ارتباط صادرة. تُخزَّن ملفات تعريف الارتباط (cookie jars) في ملفات مؤقتة وتُحذف بعد كل هدف.