🧾 وصف تفصيلي

CVE-2025-10175 — وصول غير مصرح به إلى قاعدة البيانات وسرقة البيانات

• المكوّن المتأثر: wplf_update_from_previous() ($wpdb->get_results("SELECT * FROM $table WHERE id = $id ..."))
• ناقل الهجوم: حقن SQL أعمى قائم على AJAX ومصادَق عليه (يتطلب nonce) (معامل id)
• الاستدعاء: من خلال إرسال طلب معدّ مع nonce صالح إلى /wp-admin/admin-ajax.php، يمكن ملاحظة تأخير زمني:

• التأثير: يمكن للمهاجمين استخراج محتويات قاعدة البيانات تدريجيًا (حسابات المستخدمين، عناوين البريد الإلكتروني، قيم الإعدادات) والحصول على تجزئات كلمات مرور المدير، مما يؤدي إلى تصعيد الامتيازات. كما أن كشف معلومات المخطط (schema) وعدد السجلات يُضعف السرية ويسهّل هجمات مستهدفة لاحقة ضد تثبيت ووردبريس بأكمله.
• إثبات المفهوم (PoC):

1. يرسل مستخدم مصادَق عليه طلب POST إلى /wp-admin/admin-ajax.php مع nonce صالح.
2. يتم حقن معامل id بحمولة زمنية مثل 1 AND SLEEP(5).
3. يتأخر رد الخادم، مما يؤكد وجود حقن SQL أعمى.

❓ سبب الثغرة

يتم أخذ معامل id مباشرة من $_REQUEST ولا يُمرَّر إلا عبر sanitize_text_field()، وهو ما لا يمنع حقن SQL. ثم تُدمج القيمة مباشرة في استعلام SQL دون استخدام عبارات مُحضّرة (prepared statements) أو ربط معاملات (parameter binding) صحيح.

الإصلاح المقترح:

استخدم $wpdb->prepare()

كلمة أخيرة

حتى لو كانت الإضافة نفسها تحمل ثغرة حقن SQL، فهناك حالات كثيرة يتولى فيها نواة ووردبريس عملية الهروب (escaping). لكن في هذه الحالة لم يتم استخدام Prepare ولا Bind، ولم تُستخدم سلسلة دوال esc أيضًا، لذلك كان حقن SQL الأعمى ممكنًا. اغتنمت هذه الفرصة لدراسة صيغ حقن SQL الأعمى، لكنني لن أشاركها خوفًا من الوقوع تحت طائلة القانون.

🔍 المكتشف

الاسم: MooseLove
الدور: باحث أمني مستقل / صائد ثغرات
التواصل: متاح عند الطلب

📚 المراجع

• المنتج: https://wordpress.org/plugins/wp-links-page/

⚠️ الترخيص

يُقدَّم هذا التقرير الأمني للتوعية الأمنية العامة. يمكن مشاركته بحرية مع الإشارة إلى المصدر.