التحليل الفني

توجد الثغرة في /wp-content/plugins/cibeles-ai/actualizador_git.php. يطبّق هذا الملف نظام مرآة لمستودعات GitHub يمكن الوصول إليه مباشرة عبر HTTP دون أي ضوابط أمنية.

تحليل مسار الكود

1. الوصول المباشر إلى الملف (الأسطر 1-17): يفتقر الملف إلى فحص ABSPATH القياسي في ووردبريس (if (!defined('ABSPATH')) exit;) الذي يمنع الوصول المباشر عبر HTTP. تُقرأ الوسائط مباشرة من $_GET دون أي تحقق:

   root@kitploit:~

   $OWNER = $_GET['owner'] ?? 'cibeles';
   $REPO  = $_GET['repo']  ?? 'svn_cibeles-ai';
   $REF   = $_GET['ref']   ?? 'main';
   $TOKEN = $_GET['token'] ?? 'PON_AQUI_TU_TOKEN_PAT';
   

2. التحقق من التوكن (السطر 26): التحقق الوحيد يفحص ما إذا كان التوكن فارغًا أو بقيمته الافتراضية. لا يتم إجراء أي مصادقة أو تفويض:

   root@kitploit:~

   if ($TOKEN === '' || $TOKEN === 'PON_AQUI_TU_TOKEN_PAT') { 
       http_response_code(400); 
       exit("Falta token\n"); 
   }
   

3. طلب GitHub API (السطر 31, 35-58): يقوم السكربت بتنزيل ملف ZIP من GitHub API باستخدام وسائط يتحكم فيها المستخدم:

   root@kitploit:~

   $apiUrl = "https://api.github.com/repos/{$OWNER}/{$REPO}/zipball/" . rawurlencode($REF);
   curl_download($apiUrl, $zip, $TOKEN);
   

   ترسل دالة curl_download() التوكن في ترويسة Authorization لكنها لا تتحقق من مالك المستودع أو محتوياته.

4. استخراج ZIP وعمليات الملفات (الأسطر 133-158): يتم استخراج ملف ZIP الذي تم تنزيله ونسخ الملفات مباشرة إلى دليل المكوّن الإضافي:

   root@kitploit:~

   $zipArc->extractTo($extractDir);
   $rootInsideZip = $extractDir . DIRECTORY_SEPARATOR . $entries[0];
   rrcopy_into($rootInsideZip, $cwd);
   

   تقوم دالة rrcopy_into() بنسخ جميع الملفات من المستودع المستخرج بشكل متكرر إلى دليل العمل الحالي (دليل المكوّن الإضافي)، مع الكتابة فوق الملفات الموجودة.

5. حذف الملفات (الأسطر 152-154): يتم حذف الملفات غير الموجودة في المستودع الذي تم تنزيله:

   root@kitploit:~

   mirror_delete_extras($cwd, $keepSet, $PRESERVE);
   

   تحذف دالة mirror_delete_extras() أي ملفات في دليل المكوّن الإضافي غير موجودة في بيان المستودع.

إثبات المفهوم