CVE-2026-6145 — User Registration & Membership لـ WordPress: تجاوز موافقة المشرف دون مصادقة

استغلال إثبات مفهوم لـ CVE-2026-6145، وهو ثغرة تفويض مفقود في إضافة User Registration & Membership لـ WordPress (≤ 5.1.5) تتيح للمهاجمين غير المصادق عليهم تجاوز شرط موافقة المشرف عند إنشاء حسابات جديدة.

ملخص

تفاصيل الثغرة

السبب الجذري

طريقة is_admin_creation_process() في includes/class-ur-user-approval.php هي البوابة الوحيدة التي تحدد ما إذا كان التسجيل الجديد يجب أن يُعامل كإنشاء بدأه المشرف. عندما تُرجع هذه الطريقة true، يحدث أثران جانبيان:

• set_user_status() يضبط حالة المستخدم الجديد على APPROVED، متجاوزًا قائمة الانتظار المعلقة.
• send_request_notification_to_admin() يكتم رسالة إشعار المشرف الإلكترونية للتسجيل الجديد.

الطريقة نفسها، في الإصدار 5.1.5، لا تحتوي على أي تحقق من المصادقة أو التفويض أو nonce:

// includes/class-ur-user-approval.php:459-461
protected function is_admin_creation_process() {
    return ( isset( $_REQUEST['action'] ) && 'createuser' == $_REQUEST['action'] );
}

وبما أن $_REQUEST يدمج $_GET و$_POST و$_COOKIE، يمكن لمهاجم غير مصادق تلبية هذا الفحص بإضافة ?action=createuser إلى عنوان URL لإرسال نموذج تسجيل. بعدها تقوم الإضافة بالموافقة التلقائية على الحساب ولا تنبّه المشرف أبدًا.

سلسلة الاستغلال

في حين أن CVE-2026-6145 يعالج تحديدًا التفويض المفقود في is_admin_creation_process()، فإن الاستغلال الكامل دون مصادقة ضد نموذج تسجيل محصَّن يتطلب ربطه بمسألتين إضافيتين في نفس إصدار الإضافة، وكلتاهما يعالجها إثبات المفهوم المرفق تلقائيًا:

النتيجة: حساب مستخدم موافَق عليه بالكامل، تم إنشاؤه دون تدخل المشرف أو إشعاره، على موقع يتطلب صراحةً موافقة المشرف للتسجيلات الجديدة.

إثبات المفهوم

المتطلبات

• Python 3.8+
• مكتبة requests
• هدف اختبار يشغّل User Registration & Membership ≤ 5.1.5 مع:
  • تفعيل التسجيل
  • تفعيل خيار موافقة المشرف عند تسجيل الدخول
  • معرّف نموذج تسجيل معروف (ظاهر في مصدر صفحة النموذج كـ data-form-id)

التثبيت

git clone https://github.com/<your-username>/CVE-2026-6145.git
cd CVE-2026-6145
pip install requests

الاستخدام

python3 poc_admin_approval_bypass.py <target_url> <form_id>

مثال:

python3 poc_admin_approval_bypass.py http://wp.example.lab 7

المخرجات المتوقعة

======================================================================
  User Registration v5.1.4 - Admin Approval Bypass PoC
  CVE: 2026-6145 | CWE-862
  Affects: User Registration & Membership <= 5.1.5
======================================================================

[*] Target:  http://wp.example.lab
[*] Form ID: 7

[*] STEP 1: Obtaining nonce via unauthenticated AJAX endpoint
[+] SUCCESS: Got valid nonce for form 7: a1b2c3d4e5

[*] STEP 2: Registering user with admin approval bypass
    Username: poc_bypass_1747249200
    Email:    [email protected]
[+] Registration request processed (HTTP 200)

[*] STEP 3: Verifying user was created
[+] CONFIRMED: User 'poc_bypass_1747249200' exists in the database

======================================================================
  RESULTS
======================================================================
  Unauthenticated Nonce Generation:  CONFIRMED
  AJAX Nonce Bypass:                  CONFIRMED
  Admin Approval Bypass (CVE-...):    CONFIRMED

  [!] User was created with AUTO-APPROVED status
  [!] Admin was NOT notified of this registration
======================================================================

التحقق

بعد تشغيل إثبات المفهوم، سجّل الدخول إلى wp-admin وتحقق من Users → All Users:

• يظهر الحساب الذي تم إنشاؤه بحالة موافَق عليه.
• يبقى المستخدم المسجَّل عبر النموذج العادي خلال نفس الفترة بحالة قيد الانتظار.
• لا يحتوي بريد إشعارات المشرف على أي رسالة للحساب المتجاوز.

التأثير

في مواقع WordPress التي تستخدم موافقة المشرف كبوابة رئيسية ضد إنشاء الحسابات غير المرغوب فيها — وهو أمر شائع في مواقع العضويات والمجتمعات المقيّدة والبوابات الداخلية ومنصات B2B وأي موقع يتطلب التحقق من الهوية قبل الوصول — تعمل هذه الثغرة على تحييد هذا التحكم بصمت. تشمل العواقب المحددة:

• تجاوز ضوابط الوصول ذات المنطق التجاري: أي محتوى أو وظائف مشروطة بالتسجيل (صفحات العضوية الحصرية، المنتديات المقيدة، التنزيلات المقيّدة) تصبح قابلة للوصول دون فحص المشرف.
• إبطال تخفيف الاحتيال وإساءة الاستخدام: المواقع التي تستخدم موافقة المشرف لتصفية التسجيلات العشوائية أو المزيفة أو الاحتيالية تفقد هذا الفلتر تمامًا.
• إنشاء حسابات خفي: نظرًا لأن إشعار المشرف يتم كتمه أيضًا، يمكن أن تظل الحسابات غير المصرح بها دون اكتشاف حتى إجراء تدقيق يدوي للمستخدمين.
• نقطة انطلاق لمزيد من الهجمات: الحساب الموافق عليه بصلاحيات منخفضة هو موطئ قدم لتصعيد الامتيازات اللاحق أو إساءة استخدام المحتوى أو استغلال ثغرات أخرى تتطلب مصادقة في نفس الموقع.

تعكس درجة CVSS تأثيرًا على السلامة فقط (لا فقدان مباشر لسرية البيانات أو انقطاع الخدمة)، لكن التأثير في العالم الحقيقي يتزايد مع اعتماد الموقع المتأثر على سير عمل الموافقة كحد أمني.

الإصدارات المتأثرة

المعالجة

لمسؤولي المواقع

1. حدّث فورًا إلى أحدث إصدار من User Registration & Membership (> 5.1.5).
2. دقق في Users → All Users بحثًا عن حسابات موافَق عليها غير متوقعة أُنشئت منذ تثبيت الإصدار المعرض للخطر. انتبه بشكل خاص للحسابات التي لا توجد لها رسالة إشعار مشرف مقابلة.
3. قم بتدوير بيانات الاعتماد وراجع نشاط أي حسابات مشبوهة تم تحديدها.
4. إذا لم يكن التحديث الفوري ممكنًا، عطّل التسجيل العام في إعدادات WordPress كإجراء تخفيف مؤقت.

للمطورين / مرجع الكود

يجب أن تتطلب الطريقة المعرضة للخطر كلا من فحص الصلاحية وnonce صالح:

protected function is_admin_creation_process() {
    return current_user_can( 'create_users' )
        && isset( $_REQUEST['action'] )
        && 'createuser' === $_REQUEST['action']
        && isset( $_REQUEST['_wpnonce_create-user'] )
        && wp_verify_nonce(
               wp_unslash( $_REQUEST['_wpnonce_create-user'] ),
               'create-user'
           );
}

الجدول الزمني للإفصاح

المراجع

• استشارة Wordfence — CVE-2026-6145
• NVD — CVE-2026-6145
• CWE-862: تفويض مفقود
• مستودع إضافات WordPress — User Registration & Membership

ثغرات ذات صلة في نفس الإضافة

قد يهتم الباحثون الذين يتتبعون نموذج التفويض لهذه الإضافة أيضًا بـ:

• CVE-2026-1492 — تصعيد امتيازات دون مصادقة (≤ 5.1.2)
• CVE-2026-1779 — تجاوز مصادقة عبر register_member (≤ 5.1.2)
• CVE-2026-4056 — تحكم وصول مكسور في REST API لقواعد الوصول إلى المحتوى (5.0.1 – 5.1.4)
• CVE-2026-6203 — إعادة توجيه مفتوحة دون مصادقة (≤ 5.1.4)

الاعتمادات

البحث والاكتشاف وتطوير إثبات المفهوم:

Anthony Cihan قائد أمن الهجوم — Obviam

إذا أشرت إلى هذا العمل، يرجى الاستشهاد بـ CVE-2026-6145 مع نسبه إلى Anthony Cihan / Obviam.

إشعار قانوني وأخلاقي

يُنشر إثبات المفهوم هذا لأغراض البحث الدفاعي وهندسة الاكتشاف والاختبارات الأمنية المصرح بها فقط. وهو يهدف إلى مساعدة:

• مسؤولي مواقع WordPress في التحقق من نشر التصحيحات
• بائعي الأمان في تطوير توقيعات الكشف وقواعد جدار الحماية (WAF)
• الباحثين في دراسة أنماط ضوابط التفويض في إضافات WordPress
• المعلمين والطلاب في برامج الأمن الهجومي والدفاعي

أُجري البحث الأصلي في بيئة مختبرية مرخَّصة بموجب اتفاقية موقعة، مع إفصاح منسق للبائع عبر برنامج الإفصاح المسؤول من Wordfence قبل الإصدار العام.

تشغيل إثبات المفهوم هذا ضد أي نظام لا تملكه أو ليس لديك تصريح كتابي صريح لاختباره يعتبر غير قانوني بموجب قانون الاحتيال وإساءة استخدام الحاسوب الأمريكي (18 U.S.C. § 1030)، وقانون إساءة استخدام الحاسوب البريطاني لعام 1990، وتوجيه الاتحاد الأوروبي 2013/40/EU، والتشريعات المماثلة في معظم الدول. يخلي المؤلف وObviam مسؤوليتهم عن أي إساءة استخدام لهذا الكود.

باستخدامك هذا المستودع، فإنك تقر بأنك قرأت هذه الشروط وفهمتها وقبلتها.

الترخيص

صدر بموجب رخصة MIT. الإسناد مطلوب وفقًا لقسم الاعتمادات أعلاه.