codeb0ssx/ultimate-wp2shellwp2shell — تنفيذ كود عن بُعد قبل المصادقة في نواة ووردبريس (CVE-2026-60137 + CVE-2026-63030). يجمع بين حقن SQL في author__not_in مع التباس توجيه الدُفعات (batch-route) لتنفيذ كود عن بُعد دون مصادقة على WP 6.9.0–6.9.4 / 7.0.0–7.0.1.
إثبات مفهوم (PoC) تعليمي ودفاعي للتحقق من التعرض لثغرات WordPress الأساسية CVE-2026-60137 وCVE-2026-63030 (WP2Shell).
يوفر هذا المستودع إثبات مفهوم دفاعي للكشف والتحقق لثغرات WordPress الأساسية المعروفة مجتمعة باسم WP2Shell.
وفقًا للأبحاث الأمنية المتاحة للعموم، يصف WP2Shell سلسلة ثغرات تتضمن CVE-2026-60137 وCVE-2026-63030 التي، في ظل ظروف معينة، قد تؤدي إلى تنفيذ التعليمات البرمجية عن بُعد (RCE) دون مصادقة.
الهدف من هذا المشروع هو مساعدة:
على تحديد تثبيتات WordPress المعرضة للخطر، وإعادة إنتاج المشكلة في بيئات مختبرية مصرح بها، والتحقق من نجاح المعالجة بعد تطبيق التحديثات الأمنية الرسمية.
هذا المستودع مخصص بشكل صارم للأغراض التعليمية والدفاعية ولأبحاث الأمن المصرح بها.
| CVE | الوصف |
|---|---|
| CVE-2026-60137 | ثغرة في WordPress Core ضمن سلسلة ثغرات WP2Shell. |
| CVE-2026-63030 | ثغرة حرجة في WordPress Core تتيح تنفيذ التعليمات البرمجية عن بُعد (RCE)، ويُشار إليها علنًا باسم WP2Shell. |
وفقًا للنشرات الأمنية العامة، تتأثر الإصدارات التالية من WordPress Core:
يجب على المستخدمين الترقية إلى أحدث إصدار مصحح صادر عن فريق أمان WordPress.
صُمم هذا المشروع لمساعدة فرق الدفاع في:
نُشر هذا المستودع فقط من أجل:
يجب فقط تنفيذ البرنامج ضد:
قد يؤدي الاختبار غير المصرح به ضد أنظمة لا تملكها أو لا تديرها إلى انتهاك القوانين المحلية أو سياسات المؤسسات أو اللوائح الدولية.
لا يشجع المؤلف ولا يدعم:
يوضح هذا المستودع سلوك الثغرات المُعلنة للعموم لأغراض التحقق الدفاعي والتعليم فقط.
ليس المقصود منه العمل كإطار استغلال هجومي أو تسهيل الوصول غير المصرح به.
يُتوقع من المستخدمين الامتثال لجميع القوانين واللوائح المعمول بها وممارسات الإفصاح المسؤول.
تم تطوير إثبات المفهوم والتحقق منه في البيئة التالية:
قد يتطلب التنفيذ على أنظمة تشغيل أو إصدارات Python أخرى تعديلات طفيفة.
يُنصح المسؤولون بشدة بـ:
Telegram
تم إصدار هذا المشروع لأبحاث الأمن التعليمية والدفاعية.
يتحمل المستخدمون وحدهم مسؤولية ضمان إجراء جميع الاختبارات بتصريح مناسب ووفقًا للقوانين واللوائح والسياسات التنظيمية المعمول بها.
يتم توفير البرنامج "كما هو"، دون أي ضمان من أي نوع، صريح أو ضمني، بما في ذلك على سبيل المثال لا الحصر ضمانات قابلية التسويق، والملاءمة لغرض معين، وعدم الانتهاك.
لا يكون المؤلف أو أصحاب حقوق النشر مسؤولين بأي حال من الأحوال عن أي مطالبة أو أضرار أو مسؤولية أخرى، سواء في دعوى تعاقدية أو تقصيرية أو غير ذلك، تنشأ عن أو بسبب أو فيما يتعلق بالبرنامج أو استخدامه أو التعاملات الأخرى معه.
باستخدامك هذا المستودع، فإنك تقر بأنك وحدك المسؤول عن ضمان أن أنشطتك مصرح بها وتتوافق مع جميع القوانين واللوائح والسياسات التنظيمية المعمول بها.
