إضافة Acyber ووردبريس

[!WARNING] تخفيف طارئ مؤقت لـ CVE-2026-60137 و CVE-2026-63030 (wp2shell)
تخفيف طارئ ومؤقت لسلسلة ثغرات wp2shell

---

🇬🇧 الوصف بالإنجليزية

تعمل هذه الإضافة خفيفة الوزن لوردبريس كرقعة افتراضية مؤقتة (تخفيف) ضد سلسلة الاستغلال الحرجة wp2shell (CVE-2026-60137 و CVE-2026-63030).

تتيح سلسلة الاستغلال تنفيذ كود عن بُعد (RCE) دون مصادقة على تثبيتات ووردبريس القياسية (الإصدار 6.9+).

كيف يعمل:

1. تنقية صارمة: تعترض معاملات WP_Query وتنقّي قيم author__not_in بدقة باستخدام تحويل صارم إلى أعداد صحيحة، مما يمنع محاولات حقن SQL.
2. حماية نقطة الوصول: تمنع الوصول إلى نقطة نهاية الدفعات في REST API (/batch/v1)، مما يمنع المهاجمين من تجاوز فحوصات المصادقة.

التثبيت:

1. حمّل ملف PHP.
2. ارفعه إلى دليل /wp-content/plugins/ في ووردبريس.
3. فعّل الإضافة من لوحة تحكم ووردبريس.

ملاحظة: هذه آلية دفاع مؤقتة. نوصي بشدة بتحديث نواة ووردبريس إلى أحدث إصدار آمن.

---

🇮🇷 الوصف بالفارسية

طُوّرت هذه الإضافة خفيفة الوزن لوردبريس كرقعة أمنية مؤقتة (Virtual Patch) لمواجهة سلسلة الثغرات الحرجة wp2shell (بما في ذلك CVE-2026-60137 و CVE-2026-63030).

تتيح سلسلة الثغرات هذه للمهاجمين تنفيذ أكوادهم الخبيثة على ووردبريس دون الحاجة إلى مصادقة (RCE) والاستيلاء على السيطرة على الموقع.

طريقة العمل:

1. تنقية صارمة: تقوم هذه الأداة بتصفية مدخلات حقل author__not_in في فئة WP_Query بدقة وتحويلها إلى أعداد صحيحة بحيث لا تكون هناك إمكانية لحقن أكواد SQL.
2. حظر نقطة الدخول: يمنع الوصول إلى مسار الدفعات في REST API أي /batch/v1 بشكل كامل حتى لا يتمكن المهاجم من تجاوز نظام المصادقة.

دليل التثبيت:

1. حمّل ملف كود PHP الخاص بالإضافة.
2. ارفعه إلى مسار /wp-content/plugins/ في موقعك.
3. فعّل الإضافة من قسم إدارة الإضافات في ووردبريس.

ملاحظة: هذا حل دفاعي مؤقت. يُنصح بتحديث نواة ووردبريس إلى أحدث إصدار آمن في أقرب وقت.

---

المؤلف

• الاسم: Mohammad Javad Joshani
• الموقع: acyber.ir