mrdark-ops/cve-2026-12227إثبات مفهوم وتحليل تقني لـ CVE-2026-12227، وهو ثغرة LFI/RCE غير مصادق عليها في إضافة WordPress Visual Composer عبر معامل vcv-template.
CVE-2026-12227 هي ثغرة تضمين ملف محلي (LFI) حرجة (CVSS 9.8) بدون مصادقة في إضافة Visual Composer Website Builder لـ WordPress، وتؤثر على جميع الإصدارات حتى الإصدار 45.16.0 ضمناً. تكمن الثغرة في المعامل vcv-template، الذي يسمح للمهاجم بتضمين وتنفيذ ملفات عشوائية على الخادم. يمكن أن يؤدي ذلك إلى كشف بيانات حساسة، أو تجاوز ضوابط الوصول، أو حتى تنفيذ تعليمات برمجية عن بُعد (RCE) بالكامل إذا كانت بيئة الخادم مُهيأة بشكل خاطئ.
CVE-2026-12227
9.8/10
إضافة Visual Composer Website Builder (حتى الإصدار 45.16.0)
السبب الجذري: تُصنَّف الثغرة على أنها CWE-98: التحكم غير السليم باسم الملف في عبارة Include/Require في برنامج PHP (يُشار إليها غالباً باسم تضمين الملفات عن بُعد في PHP). وهي ناتجة عن خلل منطقي في ملف PageTemplatesController.php، وتحديداً داخل الدالة viewPageTemplate()، التي ترتبط بمرشّح template_include الخاص بـ WordPress عند الأولوية 11 دون أي فحص للمصادقة.
المشكلة الأساسية هي خلل "التحقق ثم التعديل":
التحقق (على المدخلات الخام): يستدعي الكود أولاً دالة validate_file() الخاصة بـ WordPress على القيمة الخام التي يوفّرها المستخدم للمعامل vcv-template. صُمِّمت هذه الدالة لرفض المسارات التي تحتوي على تسلسلات اجتياز أدلة حرفية مثل ... في هذه المرحلة، لا يحتوي المدخل الخبيث theme:.theme:./.theme:./.theme:./wp-links-opml.php على أي .. حرفي، لذا يجتاز التحقق.
التعديل (بعد التحقق): مباشرة بعد التحقق، يفحص الكود ما إذا كان نوع القالب هو vc-custom-layout وما إذا كانت القيمة تحتوي على السلسلة theme:. إذا كان الأمر كذلك، فإنه ينفّذ str_replace('theme:', '', $current['value'])، مما يزيل جميع حالات theme: من القيمة.
نقطة الوصول (Sink): تُمرَّر القيمة المعدَّلة بعد ذلك إلى locate_template()، التي تحلّ المسار وتضمّن الملف. ولأن سلاسل theme: قد أُزيلت، تتّحد تسلسلات الاجتياز المُجزَّأة معاً، مما ينشئ مساراً صالحاً مثل ../../../../wp-links-opml.php لم يتم التحقق منه أبداً في شكله النهائي.
سطح الهجوم: ناقل الهجوم: الشبكة (AV:N) — الثغرة قابلة للوصول مباشرة عبر HTTP/HTTPS.
المصادقة: لا تتطلب أي مصادقة (PR:N) — إنها ثغرة بدون مصادقة. يمكن لأي مهاجم عن بُعد تشغيلها دون حساب صالح.
تفاعل المستخدم: لا يتطلب أي تفاعل (UI:N).
المكوّن المتأثر: إضافة Visual Composer Website Builder لـ WordPress.
المعامل الثغرة: المعامل vcv-template، المستخدم بالاقتران مع المعامل vcv-template-type.
شرط التشغيل: يجب أن تكون الإضافة مثبّتة ونشطة على موقع WordPress، ويجب أن تكون هناك صفحة واجهة أمامية مبنية بـ Visual Composer (أي يجب أن يوجد رابط دائم عادي).
ملاحظات الاستغلال: التأثير: تسمح الثغرة لمهاجم غير مُصادَق بتضمين وتنفيذ ملفات محلية عشوائية على الخادم. ولأن ملفات PHP المضمَّنة تُنفَّذ، يمكن أن يؤدي ذلك إلى تنفيذ تعليمات برمجية عن بُعد (RCE)، مما يسمح باختراق كامل لسرية الخادم وسلامته وتوافره.
أسلوب الاستغلال: يمكن للمهاجمين استغلال ذلك عبر صياغة قيمة vcv-template خبيثة تستخدم البادئة theme: لتجاوز التحقق، كما هو موضح في السبب الجذري. على سبيل المثال، قد يبدو الطلب كالتالي: POST /?vcv-template-type=vc-custom-layout&vcv-template=theme:.theme:./.theme:./.theme:./wp-links-opml.php.
تصعيد RCE: بينما تُعدّ LFI نفسها حرجة، فإن تحقيق RCE غالباً ما يعتمد على بيئة الخادم. من الطرق الشائعة تضمين ملف سبق رفعه إلى الخادم (مثل ملف صورة يبدو غير ضار يحتوي على تعليمات PHP مضمّنة) أو الاستفادة من إعدادات خاطئة أخرى على الخادم.
توفر PoC: تتوفر عدة استغلالات إثبات مفهوم علناً، بما في ذلك سكربت Python وقالب Nuclei، يمكن استخدامها للتحقق في بيئة مختبرية مصرّح بها
[*] كود Python مذكور أعلاه
إصدار التصحيح: 45.16.1
