CVE-2026-8206 - الاستغلال الجماعي لملحق Kirki لووردبريس

أداة استغلال جماعي لـ CVE-2026-8206 – ثغرة حرجة في ملحق Kirki لووردبريس (الإصدارات ≤ 6.0.6) تسمح للمهاجمين غير المصادق عليهم باختطاف روابط إعادة تعيين كلمة المرور والاستيلاء على أي حساب مستخدم، بما في ذلك حسابات المسؤولين.

نظرة عامة على الثغرة

ملحق Kirki يعرض نقطة نهاية REST غير مصادق عليها (/wp-json/KirkiComponentLibrary/v1/kirki-forgot-password). بسبب غياب فحوصات الصلاحيات والتحقق غير السليم من البريد الإلكتروني، يمكن للمهاجم:

• طلب إعادة تعيين كلمة المرور لأي اسم مستخدم صالح
• توفير عنوان بريد إلكتروني عشوائي (مثل عنوانه الخاص) لاستلام رابط إعادة التعيين
• الحصول على سيطرة كاملة على الحساب المستهدف

الإصدارات المتأثرة: ≤ 6.0.6
الإصدار الذي تم إصلاحه: 6.0.7

الميزات

• متعدد الخيوط – فحص مئات الأهداف بسرعة
• كشف تلقائي للملحق – يتحقق من readme.txt و kirki.min.css (يدعم مجلدي kirki و kirki-test)
• استخراج ذكي للـ nonce – يعثر على الـ nonce من أكثر من 12 مسارًا شائعًا (الجذر، تسجيل الدخول، lostpassword، إلخ) باستخدام أكثر من 10 أنماط regex
• تعداد أسماء المستخدمين – يجلب أسماء المستخدمين الحقيقية من /wp-json/wp/v2/users (الاحتياط إلى admin)

المتطلبات

• Python 2.7
• مكتبة requests
• concurrent.futures (نسخة backport، مثبتة عادة)

تثبيت التبعيات:

pip install requests futures

التثبيت

git clone https://github.com/Jenderal92/CVE-2026-8206.git
cd CVE-2026-8206

عدّل السكربت لتعيين بريدك الإلكتروني كمهاجم:

ATTACKER_EMAIL = "[email protected]"   # line ~15

الاستخدام

python CVE-2026-8206.py <targets_file> [threads]

• <targets_file> – ملف نصي يحتوي على نطاق واحد في كل سطر (مع أو بدون http:///https://)
• [threads] – اختياري، عدد الخيوط المتزامنة (الافتراضي: 15)

مثال

python CVE-2026-8206.py targets.txt 20

مثال لملف الإدخال (targets.txt)

example.com
https://vulnerable-site.com
http://127.0.0.1/wordpress

المخرجات

• res.txt – يحتوي على الأهداف التي تم استغلالها بنجاح بالتنسيق:

  root@kitploit:~

  URL|username|attacker_email|reset_link_sent_to_attacker_email
  

  مثال:

  root@kitploit:~

  https://example.com|admin|[email protected]|reset_link_sent_to_attacker_email
  

• مخرجات الكونسول تعرض تقدمًا في الوقت الفعلي:

  • إصدار Kirki المكتشف
  • اسم المستخدم المستخدم
  • الـ Nonces التي تم العثور عليها (مجمعة حسب عنوان URL المصدر)
  • حالة الاختبار (VALID / FAILED) لكل nonce

كيف يعمل

1. كشف الملحق – يرسل طلبًا إلى /wp-content/plugins/{kirki,kirki-test}/readme.txt (Stable tag) و /.../kirki.min.css (معامل ver). إذا كان الإصدار ≤ 6.0.6، تابع.
2. استخراج اسم المستخدم – يحاول /wp-json/wp/v2/users، وإذا كان فارغًا يتراجع إلى admin.
3. جمع الـ nonce – يزور أكثر من 12 عنوان URL (الجذر، تسجيل الدخول، صفحات نسيت كلمة المرور، إلخ) ويستخرج أي سلاسل شبيهة بالـ nonce (8+ أحرف hex) باستخدام أنماط regex متعددة.
4. محاولة الاستغلال – لكل nonce، يرسل طلب POST إلى نقطة النهاية الضعيفة مع:
   • username = اسم المستخدم المستهدف
   • email = بريد المهاجم الإلكتروني
   • emailBody = JSON يتضمن شريحة reset_link
5. النجاح – إذا استجاب الخادم بـ 200 و "Email sent"، يتم كتابة الهدف في res.txt.

ملاحظات هامة

• رابط إعادة التعيين يُرسل إلى بريد المهاجم الإلكتروني؛ يجب أن يكون لديك وصول إلى صندوق الوارد ذلك.
• يتم حفظ الأهداف الصالحة (القابلة للاستغلال) فقط – لا نتائج إيجابية خاطئة.
• استخدم الأداة بمسؤولية وفقط على الأنظمة التي تملكها أو لديك إذن صريح لاختبارها.

إخلاء مسؤولية

هذا البرنامج مقدّم لأغراض تعليمية ولاختبارات الأمان المصرح بها فقط. الاستخدام غير المصرح به ضد أنظمة لا تملكها أو ليس لديك إذن لاختبارها يعد غير قانوني. المؤلف غير مسؤول عن أي إساءة استخدام أو ضرر ناتج عن هذه الأداة.

لمزيد من إخلاء المسؤولية، يمكنك الاطلاع على إخلاء المسؤولية على غلاف Jenderal92. يمكنك التحقق منه هنا !!!

المراجع

• CVE-2026-8206 (عند النشر)
• سجل تغييرات ملحق Kirki