English | فارسی

🛡️ عبدال CVE-2026-60137 استغلالات إثبات المفهوم

عبدال CVE-2026-60137 هو أداة تحقق دفاعية لووردبريس للتعقيم غير الكافي لمعامل author__not_in في WP_Query، المُتتبَّع باسم CVE-2026-60137. يمكن أن تسمح الثغرة بحقن SQL عندما يصل إدخال غير موثوق إلى المعامل المتأثر. في إصدارات ووردبريس المتأثرة 6.9 و7.0، يمكن ربطها مع CVE-2026-63030 كجزء من مسار تنفيذ الأوامر عن بُعد wp2shell.

تساعد الأداة المسؤولين وفرق الأمان المصرح لهم على تحديد إصدارات ووردبريس المتأثرة المحتملة وتعرض نقاط نهاية REST الدفعية المشبوهة دون محاولة إثبات حقن SQL عبر حمولة قاعدة بيانات مدمرة.

🎯 لماذا أُنشئت هذه الأداة

يمكن أن يوفر اكتشاف الإصدار وسلوك نقطة النهاية فرزًا دفاعيًا سريعًا عبر العديد من تثبيتات ووردبريس. يجمع هذا المُتحقِّق هذه الإشارات في أحكام واضحة حتى يتمكن المسؤولون من تحديد أولويات التصحيح والفحص المتابع.

⚠️ الإصدارات المتأثرة والمُصحَّحة

بالنسبة لووردبريس 6.8.x، تتعلق المشكلة المنشورة بحقن SQL المُيسَّر. سلسلة wp2shell الكاملة التي تتضمن CVE-2026-63030 تنطبق على فرعي 6.9.x و7.0.x المتأثرين.

✨ الميزات

• يفحص عنوان URL واحدًا أو ملفًا يحتوي على عناوين URLs متعددة.
• يستخدم عمالًا متزامنين للتحقق الجماعي الفعّال.
• يكتشف إصدار ووردبريس عندما يكون قابلاً للاكتشاف علنًا.
• يتحقق من كل من /wp-json/batch/v1 و /?rest_route=/batch/v1 كإشارات تعرّض دفاعية.
• يدعم عدد عمال قابلًا للتهيئة، ومهلة HTTP، وUser-Agent، والتحقق من TLS.
• يحد من قراءات جسم الاستجابة وعمق إعادة التوجيه لتشغيل أكثر أمانًا.
• يعرض نتائج ملونة لكل هدف مع الإصدار ونقطة النهاية وحالة HTTP والوقت المنقضي والتفاصيل.
• يطبع ملخصًا مصنفًا بعد كل فحص.
• يدعم بدء فحص آخر دون إعادة تشغيل التطبيق.
• يصنف النتائج كـ VULNERABLE أو AFFECTED أو AFFECTED-WAF أو PATCHED أو NOT-AFFECTED أو UNKNOWN أو NOT-WORDPRESS أو INVALID أو ERROR عند الاقتضاء.

🚀 الاستخدام

شغّل الملف التنفيذي:

ثم اتبع المطالبات التفاعلية:

1. حدد هدفًا واحدًا أو ملفًا نصيًا يحتوي على الأهداف.
2. أدخل عنوان URL أو مسار الملف.
3. قم بتهيئة العمال والمهلة وUser-Agent والتحقق من TLS.
4. راجع الأحكام لكل هدف والملخص النهائي.
5. اختر ما إذا كنت تريد بدء فحص آخر أو الخروج.

مثال على ملف الأهداف:

https://wordpress.example
https://blog.example

افحص فقط الأنظمة التي تملكها أو المصرح لك صراحةً بتقييمها.

🧭 تفسير النتائج

[!IMPORTANT] الحكم هو تقييم تعرض استدلالي. إنه ليس دليلًا مستقلًا على نجاح حقن SQL أو تعرض هدف للاختراق.

🔧 المعالجة

• حدّث ووردبريس 6.8.x إلى 6.8.6 أو أحدث.
• حدّث ووردبريس 6.9.x إلى 6.9.5 أو أحدث.
• حدّث ووردبريس 7.0.x إلى 7.0.2 أو أحدث.
• أكد الإصدار المثبت بعد التحديث بدلاً من افتراض اكتمال التحديثات التلقائية.
• راجع الإضافات والقوالب المخصصة التي تمرر بيانات غير موثوقة إلى WP_Query، خاصةً معامل author__not_in.
• راجع سجلات أخطاء REST API وقاعدة البيانات، وسلامة الملفات، وحسابات المسؤولين، والمهام المجدولة غير المتوقعة.
• صحّح CVE-2026-63030 على أنظمة 6.9.x و7.0.x المتأثرة لكسر سلسلة wp2shell المُعلنة.
• تعامل مع حماية WAF كدفاع متعمق، وليس كبديل عن تصحيح البائع.

⚖️ إخلاء المسؤولية

يُوفَّر هذا البرنامج solely لاختبار الأمان الدفاعي القانوني، والتحقق من ملكية الأصول، والتعليم، والبحث المصرح به. أنت مسؤول عن الحصول على إذن قبل فحص أي نظام وعن الامتثال لجميع القوانين والعقود والسياسات المعمول بها.

يُوفَّر البرنامج ونتائجه كما هي، دون ضمانات أو كفالات للدقة أو التوفر أو الملاءمة لغرض معين أو عدم وجود إيجابيات وسلبيات كاذبة. المبرمج والمساهمون غير مسؤولين عن سوء الاستخدام أو انقطاع الخدمة أو فقدان البيانات أو الحوادث الأمنية أو أي أضرار مباشرة أو غير مباشرة تنشأ عن استخدام هذا المشروع.

🔗 المراجع

• استشارة أمان ووردبريس GHSA-fpp7-x2x2-2mjf
• إصدار أمان ووردبريس 7.0.2
• NVD: CVE-2026-60137

🐛 الإبلاغ عن المشكلات

إذا واجهت أي مشكلات أو كانت لديك مشاكل في التكوين، فيرجى التواصل عبر البريد الإلكتروني على [email protected]. يمكنك أيضًا الإبلاغ عن المشكلات على GitLab أو GitHub.

❤️ التبرع

إذا وجدت هذا المشروع مفيدًا وترغب في دعم المزيد من التطوير، فيرجى التفكير في تقديم تبرع:

• تبرع هنا

🤵 المبرمج

مُصنَّع يدويًا بشغف بواسطة Ebrahim Shafiei (EbraSha)

• البريد الإلكتروني: [email protected]
• تيليجرام: @ProfShafiei
• GitHub: ebrasha

📜 الترخيص

هذا المشروع مرخص بموجب رخصة AGPLv3.