CVE-2026-64638 — إثبات مفهوم XSS2Shell

أداة إثبات مفهوم (PoC) للتحقق من صحة CVE-2026-64638، وهي ثغرة Cross-Site Scripting (XSS) انعكاسية قبل المصادقة تؤثر على تثبيتات WordPress (الإصدارات 6.4 – 7.0.2).

نظرة عامة

تقوم هذه الأداة بأتمتة عملية تحديد البصمة والتحقق من الصحة وإنشاء إثبات مفهوم لـ CVE-2026-64638. وتؤكد بأمان ما إذا كان تثبيت WordPress المستهدف عرضة لثغرة XSS الانعكاسية قبل المصادقة دون نشر حمولات خبيثة. وإذا تم تأكيد أن الهدف عرضة للثغرة، فيمكنها إنشاء إثبات مفهوم بصيغة HTML لاختبارات الأمان المصرح بها ولإدراجه في تقارير برامج مكافآت الثغرات.

الميزات

• تحديد بصمة الإصدار: يكتشف بدقة إصدار WordPress المستهدف باستخدام عدة طرق استدلالية.
• تحقق آمن: يختبر انعكاس الحمولة ونقاط نهاية JSONP الخاصة بـ REST API لتأكيد قابلية الاستغلال بأمان.
• إنشاء المخرجات: ينشئ تلقائيًا ملفات إثبات مفهوم بصيغة HTML، وأوامر إعادة إنتاج باستخدام curl، ومقتطفات تقارير.
• متغيرات الحمولة: يدعم عدة متغيرات تجاوز (standard، envelope، waf) لاختبار سيناريوهات تصفية مختلفة.

البنية / آلية العمل

1. تحديد البصمة: يحدد إصدار WordPress عبر وسوم المولّد (generator tags)، أو readme.html، أو معاملات السكربتات المضمّنة.
2. التحقق من نقطة النهاية: يؤكد أن wp-login.php قابل للوصول وفعّال.
3. فحص انعكاس الحمولة: يرسل حمولة اسم مستخدم مصممة إلى wp-login.php ويتحقق مما إذا كانت عناصر DOM المطلوبة (مثل ajaxurl، color-picker) تنجو من التعقيم في الاستجابة.
4. فحص استدعاء JSONP: يختبر وظيفة JSONP الخاصة بـ REST API للتحقق من إمكانية تنفيذ JavaScript، مما يكمل السلسلة.
5. إنشاء التقرير: يجمع النتائج في مخرجات قابلة لإعادة الإنتاج.

المتطلبات

• Python 3.x
• أنظمة التشغيل المدعومة: Linux، macOS، Windows
• التبعيات: requests>=2.31.0، urllib3

التثبيت

استنسخ المستودع وثبّت التبعيات المطلوبة:

git clone https://github.com/eh-amish/xss2shell-poc.git
cd xss2shell-poc
pip install -r requirements.txt

الإعداد

لا تتطلب هذه الأداة أي متغيرات بيئة أو ملفات إعداد معقدة. يتم تمرير جميع المعاملات مباشرة عبر وسائط سطر الأوامر.

الاستخدام

شغّل الأداة باستخدام Python 3 ضد هدف مُصرّح به.

فحص الثغرات الأساسي (بدون توليد PoC)

python3 xss2shell_poc.py -t https://target.com --check-only

التحقق الكامل وتوليد إثبات المفهوم

python3 xss2shell_poc.py -t https://target.com

المتغيرات المتقدمة

إذا تم حظر الحمولة القياسية بواسطة WAF أو أعادت نقطة نهاية REST رمز HTTP 401، فجرّب المتغيرات البديلة:

python3 xss2shell_poc.py -t https://target.com --variant waf
python3 xss2shell_poc.py -t https://target.com --variant envelope

اسم ملف PoC المخصص

python3 xss2shell_poc.py -t https://target.com -o custom_poc.html

بنية المشروع

.
├── .gitignore
├── CONTRIBUTING.md
├── LICENSE
├── README.md
├── SECURITY.md
├── requirements.txt
└── xss2shell_poc.py

أمثلة

مثال على مخرجات التنفيذ

Target  : https://target.com
Variant : standard
Mode    : Full PoC

[>] Phase 1 — WordPress Version Fingerprint
[+] WordPress 7.0.2 — VULNERABLE (6.4 – 7.0.2)

[>] Phase 2 — Confirm Login Page
[+] wp-login.php reachable (HTTP 200)

[>] Phase 3 — Testing XSS Payload (variant: standard)
[+] XSS PAYLOAD SURVIVED SANITIZATION!
[+] Injected DOM elements found in response: ['id="ajaxurl"', 'id="color-picker"']

[>] Phase 4 — REST API JSONP Callback Check
[+] REST JSONP callback works: https://target.com/?rest_route=/&_method=GET&_jsonp=testcb
[+] jQuery will evaluate response as script → XSS fires automatically

الأمان

يحتوي هذا المستودع على أدوات اختبار متعلقة بالأمان. يُرجى الرجوع إلى SECURITY.md للاطلاع على سياسة الإفصاح المسؤول ومتطلبات الاستخدام المصرّح به.

القيود

• قد يفشل تحديد بصمة الإصدار إذا كان الهدف قد طبّق تدابير قوية من نوع "الأمان عبر الغموض" لإخفاء إصدار WordPress الخاص به.
• قد تحجب جدران الحماية WAFs فحص انعكاس الحمولة (payload reflection) حتى لو كانت البرمجيات الأساسية عرضة للثغرة.

المساهمة

نرحّب بالمساهمات المهنية! يُرجى الاطلاع على CONTRIBUTING.md للحصول على تفاصيل حول سير عملنا ومعايير جودة الشيفرة وإرشادات تقديم المساهمات.

الترخيص

هذا المشروع مرخّص بموجب MIT License.

الشكر / الإسناد

• يستند منطق الثغرة إلى الاستشارات الأمنية المتاحة للعموم بشأن CVE-2026-64638.
• تم إعداد بنية سكربت PoC والحمولات (payloads) بواسطة مساهمي المشروع لأغراض الاختبار.

إخلاء المسؤولية

مخصّص للاستخدام المصرّح به فقط. يُقدَّم هذا المشروع حصريًا لأغراض اختبار الاختراق المصرّح به، والبحث الأمني، وبرامج مكافآت الثغرات (bug bounty) حيث تم منح إذن صريح ومكتوب من مالك النظام. لا تستخدم هذه الأداة ضد أنظمة لا تملكها أو لا تملك إذنًا باختبارها. المؤلفون والمساهمون غير مسؤولين عن أي إساءة استخدام أو ضرر أو عواقب قانونية ناتجة عن استخدام هذه البرمجيات.